A Cisco lançou correções para uma falha de segurança de alta gravidade no Secure Firewall Adaptive Security Appliance (ASA) e no Secure Firewall Threat Defense (FTD), que, segundo a empresa, já foi explorada em ataques reais.
A vulnerabilidade, identificada como CVE-2026-76418 (sigla para Vulnerabilidades e Exposições Comuns), recebeu nota 8,6 no CVSS (Sistema de Pontuação de Vulnerabilidades Comuns). A exploração bem-sucedida pode permitir que um atacante remoto, sem necessidade de autenticação, faça o equipamento reiniciar inesperadamente, o que resulta em uma condição de negação de serviço (DoS).
Segundo a Cisco, o problema está no serviço de acesso remoto por rede privada virtual (VPN) com SSL (protocolo de comunicação segura) dos softwares ASA e FTD.
“Esta vulnerabilidade é causada por erros de lógica quando a autenticação secundária está configurada em um grupo de túnel”, afirmou a empresa em um comunicado publicado na quarta-feira. “Um atacante poderia explorar essa vulnerabilidade enviando uma requisição manipulada ao se conectar à VPN de acesso remoto SSL. Uma exploração bem-sucedida poderia permitir que o atacante fizesse o equipamento afetado reiniciar, resultando em uma condição de DoS.”
A fabricante de equipamentos de rede afirmou que tomou conhecimento da exploração ativa dessa vulnerabilidade em outubro de 2026, mas não divulgou detalhes sobre quando os ataques começaram, quem está por trás deles nem a escala das ações.
As correções para a falha estão disponíveis nas seguintes versões:
-
Software Cisco Secure Firewall ASA
- 9.16 e anteriores: corrigido na versão 9.16.4.104
- 9.18: corrigido na versão 9.18.4.96
- 9.20: corrigido na versão 9.20.4.50
- 9.22: corrigido na versão 9.22.3.200
- 9.23: corrigido na versão 9.23.1.48
- 9.24: corrigido nas versões 9.24.1.27 e 9.24.10.1
-
Software Cisco Secure FTD
- 7.0 e anteriores: corrigido na versão 7.0.11
- 7.2: corrigido na versão 7.2.13
- 7.4: corrigido na versão 7.4.9
- 7.6: corrigido na versão 7.6.7
- 7.7: corrigido na versão 7.7.14
- 10.0: corrigido na versão 10.0.3
- 10.1: corrigido na versão 10.1.1
A Cisco também informou que a vulnerabilidade afeta seus dispositivos se as seguintes condições forem atendidas:
- Estarem executando uma versão vulnerável do software Cisco Secure Firewall ASA ou do software Cisco Secure FTD.
- O serviço de login da VPN de acesso remoto SSL estiver acessível.
- A autenticação secundária estiver configurada no escopo do grupo de túnel.
“Se o tunnel-group-list enable estiver configurado, verifique todos os grupos de túnel, incluindo o grupo de túnel padrão, DefaultWEBVPNGroup, em busca de secondary-authentication-server-group”, disse a Cisco.
“Se o tunnel-group-list enable estiver ausente ou tiver sido removido com o comando no tunnel-group-list enable, verifique o grupo de túnel padrão, DefaultWEBVPNGroup, em busca de secondary-authentication-server-group, pois desativar a lista de grupos não elimina a exposição quando esse grupo padrão utiliza autenticação secundária.”
Como medida paliativa temporária, a empresa recomenda que os clientes desativem a lista de grupos de túnel caso o DefaultWEBVPNGroup não utilize autenticação secundária, ou desativem a autenticação secundária em qualquer lista de grupos de túnel configurada pelo usuário ou no grupo de túnel padrão, DefaultWEBVPNGroup.
“No software Cisco Secure FTD, revise a política de VPN de acesso remoto implantada e a configuração em execução resultante do dispositivo no Cisco Secure FMC ou no Cisco Secure FDM”, disse a Cisco. “Um login bem-sucedido na VPN não é necessário para alcançar o caminho de processamento afetado.”
A divulgação ocorre após a Cisco revelar que um grupo sofisticado de ameaça persistente avançada (APT), rastreado como UAT-11473, explorou a CVE-2026-20127, uma falha de contorno de autenticação em instâncias do controlador Cisco SD-WAN Catalyst (rede de longa distância definida por software), para burlar a autenticação e obter acesso não autorizado aos sistemas afetados.
A atividade, que tem como alvo os setores de serviços espaciais e de satélites, tecnologia de defesa e aeroespacial e pesquisa de políticas, apresenta sobreposições de infraestrutura com a rede encoberta Silent Train, do Volt Typhoon, segundo avaliação.
“O UAT-11473 instalou em seguida uma estrutura de malware personalizada que rastreamos como “KeyDrift”, composta de múltiplos componentes [como PolyFlame e LittleFilch] voltados à coleta de informações sensíveis de chaves, atuando como backdoors e como hosts intermediários de comando e controle (C2)”, disse a Cisco Talos.
“A estrutura foi projetada para oferecer acesso persistente de longo prazo e exfiltração automatizada de material sensível de chaves. O KeyDrift opera dentro dos processos do plano de controle da SD-WAN e é capaz de interceptar tráfego de controle descriptografado, extrair metadados de sessões de controle e material de chaves do plano de dados, além de preparar ou transmitir o material coletado usando registros criptografados.”
