Aanvallers misbruiken lek in Cisco ASA- en FTD-VPN om firewalls te laten herstarten

Wat is er gebeurd

Een aanvaller op het netwerk kan een Cisco-firewall laten herstarten zonder in te loggen. Dit gebeurt door een speciaal samengesteld verzoek te sturen tijdens het verbinden met de SSL remote access VPN van het apparaat. Elke herstart zet het apparaat tijdelijk offline, waardoor het verkeer en de VPN-gebruikers worden afgesneden.

Twee producten in de Secure Firewall-lijn van Cisco delen de zwakke plek: ASA Software en FTD Software. Het lek zit in de code die remote access VPN-verbindingen via SSL afhandelt. De oorzaak is foutieve logica bij tunnelgroepen die secundaire authenticatie gebruiken. De software controleert een resultaat niet voordat het wordt gebruikt, waardoor het apparaat crasht.

Cisco publiceerde advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 op 28 oktober 2026. Het Nationaal Cyber Security Centrum (NCSC) volgde met advisory NCSC-2026-0463.

Wie is getroffen

Het lek treft Cisco-apparaten waarop de Remote Access SSL VPN draait met secundaire authenticatie ingesteld op een tunnelgroep.

Deze versies van FTD Software zijn getroffen: voor 7.0.11; 7.2.0 tot voor 7.2.13; 7.3.0 tot voor 7.4.9; 7.6.0 tot en met 7.6.7; 7.7.0 tot voor 7.7.14; 10.0.0 tot voor 10.0.3; en 10.1.0.

Deze versies van ASA Software zijn getroffen: voor 9.16.4.104; 9.18 tot voor 9.18.4.96; 9.19 tot voor 9.20.4.50; 9.22 tot voor 9.22.3.200; 9.23 tot voor 9.23.1.48; 9.24.1 tot voor 9.24.1.27; en 9.24.10.

Hoe ernstig is het

Cisco beoordeelt het lek met 8.6 op een schaal van 10. Een aanvaller heeft geen account en geen hulp van een gebruiker nodig, en de bug kan op afstand worden geactiveerd. Het lek legt geen gegevens bloot en laat niemand instellingen wijzigen. De schade is een storing van de firewall en de VPN die ervan afhangt.

Het lek wordt al bij aanvallen gebruikt. CISA voegde het op 29 oktober 2026 toe aan de Known Exploited Vulnerabilities-catalogus.

Wat moet u doen

1. 1Controleer of een tunnelgroep op uw ASA- of FTD-apparaten secundaire authenticatie gebruikt voor de SSL remote access VPN.
2. 2Werk getroffen ASA- en FTD-apparaten bij naar een verholpen release die wordt genoemd in Cisco-advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75.
3. 3Pas de mitigerende maatregelen van Cisco toe als u niet direct kunt updaten.
4. 4Amerikaanse federale instanties moeten uiterlijk 1 november 2026 de door CISA vereiste actie uitvoeren, of het product niet meer gebruiken als er geen mitigatie beschikbaar is.

Kerngegevens