Cisco patcha CVE-2026-76418: attacchi DoS attivi su firewall ASA e FTD SSL VPN

Cisco ha rilasciato patch per CVE-2026-76418, vulnerabilità con CVSS 8.6 nei firewall ASA e FTD, attivamente sfruttata in-the-wild nel mese di ottobre 2026.

Cisco ha pubblicato il 28 ottobre 2026 patch critiche per CVE-2026-76418, vulnerabilità con punteggio CVSS 8.6 che colpisce i firewall Secure Firewall ASA e FTD. Il Product Security Incident Response Team (PSIRT) di Cisco conferma attività di sfruttamento in-the-wild nel mese di ottobre 2026. Oltre 51.000 dispositivi Cisco ASA con servizio SSL VPN esposti su Internet tracciano un perimetro di rischio misurabile per le organizzazioni che dipendono da questi appliance per l'accesso remoto.

Punti chiave

Un attaccante remoto non autenticato può causare il riavvio del dispositivo inviando una richiesta crafted al servizio SSL VPN quando è configurata l'autenticazione secondaria su un tunnel group.
Non è richiesto un login VPN riuscito per raggiungere il percorso di elaborazione affetto: la vulnerabilità è raggiungibile in fase pre-autenticazione.
Cisco PSIRT ha rilevato attività di sfruttamento in-the-wild nel mese di ottobre 2026; non esistono workaround completi, solo mitigazioni temporanee che riducono la sicurezza del VPN.
È il secondo zero-day ASA/FTD per denial of service nel 2026, dopo CVE-2026-20349 divulgato ad agosto.

Fatti verificati

La seguente sezione riporta esclusivamente dati confermati dalle fonti primarie, senza interpretazione editoriale.

CVE-2026-76418 interessa Cisco Secure Firewall ASA Software e Cisco Secure Firewall Threat Defense (FTD) Software. La vulnerabilità risiede nel servizio Remote Access SSL VPN ed è causata da errori di logica quando l'autenticazione secondaria è configurata su un tunnel group.

Un attaccante remoto non autenticato può sfruttarla inviando una richiesta crafted durante la connessione SSL VPN. Secondo l'advisory Cisco, "A successful VPN login is not required to reach the affected processing path". L'exploit riuscito causa il riavvio inaspettato del dispositivo, con condizione DoS.

Cisco PSIRT ha rilevato attività di sfruttamento in-the-wild nel mese di ottobre 2026. La vulnerabilità è stata scoperta da Eric Fernald durante la risoluzione di un caso TAC Cisco. Non esistono workaround completi: le mitigazioni temporanee consistono nel disabilitare l'autenticazione secondaria sui tunnel group o nel disabilitare il tunnel group list.

Le versioni ASA corrette sono: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27, 9.24.10.1. Le versioni FTD corrette sono: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1.

"In October 2026, the Cisco PSIRT became aware of active exploitation of this vulnerability. Cisco strongly recommends that customers upgrade to a fixed software release to remediate this vulnerability." — Cisco Security Advisory

Analisi editoriale: il canale TAC come segnale d'intelligence

La scoperta di Eric Fernald durante un caso TAC rivela un pattern significativo nel flusso di informazioni sulla sicurezza. Il Technical Assistance Center di Cisco rappresenta il punto di contatto diretto tra vendor e ambienti di produzione sotto stress: quando un ingegnere di supporto identifica una vulnerabilità zero-day nel corso di una richiesta di assistenza, il canale operativo diventa canale di intelligence.

Questo percorso differisce dalla ricerca di sicurezza controllata o dal bug bounty programmato. Il caso TAC implica che un cliente ha riscontrato sintomi sufficientemente gravi da aprire un ticket, che il supporto ha isolato il comportamento anomalo, e che la diagnosi ha portato a una classificazione di sicurezza. La fonte non specifica quanti clienti abbiano manifestato il problema prima della scoperta sistemica.

La distribuzione delle fixed release su sette rami ASA e sette rami FTD riflette la maturità del prodotto e la difficoltà di coordinare patch in ambienti enterprise con cicli di aggiornamento eterogenei. Per gli amministratori che hanno completato la transizione verso FTD, la presenza della stessa vulnerabilità nella piattaforma modernizzata indica continuità nel codice del servizio SSL VPN attraverso generazioni di release.

Contesto: il secondo zero-day ASA/FTD nel 2026

CVE-2026-76418 segue di due mesi CVE-2026-20349, altro zero-day con identico punteggio CVSS 8.6 e identico impatto DoS su ASA/FTD SSL VPN, divulgato ad agosto 2026. SecurityWeek segnala esplicitamente CVE-2026-76418 come "secondo zero-day" della categoria nel 2026.

Entrambe le vulnerabilità colpiscono lo stesso vettore — SSL VPN su appliance Cisco perimetrali — senza che Cisco abbia divulgato attribuzione a specifici attori di minaccia. La concentrazione suggerisce attenzione aggressiva su un singolo punto di ingresso, ma la fonte non conferma relazioni operative tra i due episodi.

I firewall perimetrali rimangono nodi obbligati del traffico remoto. La transizione verso architetture Zero Trust Network Access procede con attrito misurabile in costi, complessità e dipendenze legacy. Decine di migliaia di appliance restano esposte su Internet con servizi VPN attivi, ereditando codice che attraversa generazioni di minacce.

Cosa fare adesso

Raccomandazioni Cisco (fonte primaria):

1. Applicare le fixed release indicate nell'advisory per ASA e FTD: si tratta dell'unica remediation completa.

2. Se il patching immediato non è praticabile, valutare la mitigazione temporanea consistente nel disabilitare l'autenticazione secondaria sui tunnel group interessati o nel disabilitare il tunnel group list. Entrambe le opzioni riducono la granularità della sicurezza VPN.

Analisi DeafNews (interpretazione editoriale):

3. Verificare l'esposizione del servizio SSL VPN su Internet: la superficie di attacco è raggiungibile da remoto senza autenticazione.

4. Pianificare il monitoraggio dei log per riavvii anomali dei dispositivi, da correlare con le sessioni SSL VPN nel medesimo timeframe.

Limiti delle fonti e dichiarazione metodologica

I dettagli tecnici di CVE-2026-76418 — meccanismo di exploit, condizioni di attivazione, impatto, versioni affette e fixed release — derivano integralmente dall'advisory Cisco Security Advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75 (FONTE 10). Le fonti editoriali convergenti (The Hacker News, BleepingComputer, SecurityWeek, SecurityOnline, CyberSecurityNews) riportano gli stessi dati senza verifiche indipendenti sul codice vulnerabile.

Cisco PSIRT dichiara di essere "became aware of active exploitation" nel mese di ottobre 2026: la fonte non specifica se gli attacchi siano iniziati in quel mese o siano stati rilevati in quel mese. L'espressione "da ottobre" è stata corretta in "nel mese di ottobre 2026" per evitare overclaim temporali.

Il numero di 51.000+ dispositivi esposti proviene dalla piattaforma Shadowserver (FONTE 2) e indica dispositivi visibili su Internet, non dispositivi compromessi. Non esistono dati pubblici su vittime confermate, settori specifici presi di mira, o tempi medi di patching nel settore.

Chiusura editoriale

CVE-2026-76418 conferma che l'edge network rimane terreno di collisione tra legacy operativo e pressione offensiva. La scoperta tramite canale TAC — contatto diretto con il supporto come percorso di intelligence — è il dato più rilevante del caso: segnala che la linea tra incidente isolato e vulnerabilità sistemica si assottiglia quando il volume di attacchi costringe i clienti a richiedere assistenza prima ancora che il vendor riconosca la portata.

Per le organizzazioni che operano su ASA e FTD — settori governativi, healthcare, industriale — la condizione DoS ha stakes specifici: un firewall perimetrale che si riavvia inaspettatamente interrompe l'accesso remoto critico, non solo espone dati. La pressione non è prospettica. Cisco ha rilasciato patch il 28 ottobre 2026. Il mese di rilevamento PSIRT è noto. La superficie di attacco è quantificabile. La scadenza operativa è immediata.

Fonti

Fonti e riferimenti

Ricevi DeafLetter