### Bestätigte Auswirkungen
Cisco veröffentlichte den Sicherheitshinweis zu CVE-2026-76418 am 28. Oktober 2026. Die Einstufung lautet High, CVSS 3.1: 8,6. Betroffen ist der Remote-Access-SSL-VPN-Dienst von Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Secure Firewall Threat Defense (FTD) Software. Ursache sind laut Cisco Logikfehler bei sekundärer Authentifizierung für eine Tunnelgruppe.[1]
Ein nicht authentifizierter Angreifer aus der Ferne kann beim Verbindungsaufbau zum SSL-Remote-Access-VPN eine präparierte Anfrage senden. Eine erfolgreiche Ausnutzung kann einen unerwarteten Neustart der Firewall auslösen und den VPN-Dienst unterbrechen. Es handelt sich um Denial of Service (DoS). Cisco beschreibt weder Codeausführung noch den Diebstahl von Zugangsdaten oder Daten; der CVSS-Vektor weist keine Auswirkungen auf Vertraulichkeit oder Integrität aus.[1]
Cisco zufolge erfuhr das Product Security Incident Response Team im Oktober 2026 von aktiver Ausnutzung. Der Hinweis nennt keine Zahl von Vorfällen, Täter, Opfer, Kampagnengröße oder Belege für Datendiebstahl. Die Meldung sollte die Patch-Priorität erhöhen, belegt aber keinen Angriff auf jede erreichbare Firewall.[1]
### Konfiguration prüfen
Voraussetzungen sind eine betroffene ASA- oder FTD-Version, ein erreichbarer SSL-Remote-Access-VPN-Dienst und sekundäre Authentifizierung im betreffenden Tunnelgruppenbereich. Cisco verweist auf die aktivierte WebVPN-Schnittstelle und die Einstellung secondary-authentication-server-group. Eine erfolgreiche VPN-Anmeldung ist nicht erforderlich, damit ein Angreifer den betroffenen Verarbeitungspfad erreicht.[1]
Prüfen Sie alle Tunnelgruppen, nicht nur die auf der Anmeldeseite angezeigten Profile. Bei aktiviertem tunnel-group-list sind alle Gruppen einschließlich DefaultWEBVPNGroup zu prüfen. Auch bei deaktivierter Liste muss die Standardgruppe geprüft werden: Verwendet sie weiter sekundäre Authentifizierung, bleibt die Konfiguration gefährdet. Laut Cisco sind Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access und Secure FMC Software nicht betroffen.[1]
### Übergangsmassnahme und Upgrade
Cisco zufolge gibt es keinen Workaround, der die Schwachstelle vollständig behebt. Als vorübergehende Maßnahme nennt Cisco das Entfernen sekundärer Authentifizierung aus betroffenen Tunnelgruppen. Nutzt DefaultWEBVPNGroup sie nicht, kann die Tunnelgruppenliste deaktiviert werden; Nutzer müssen dann das korrekte Verbindungsprofil kennen. Verwendet die Standardgruppe sekundäre Authentifizierung, beschreibt Cisco das Entfernen ihrer Einstellung secondary-authentication-server-group. Der Wegfall eines zweiten Faktors senkt das Sicherheitsniveau und kann den Betrieb beeinträchtigen. Bewerten und testen Sie Änderungen anhand der eigenen Authentifizierungskonfiguration und betrachten Sie sie nur als vorläufige Risikominderung.[1]
Die primäre Behebung ist ein Upgrade auf eine korrigierte Version. Wählen Sie mit Cisco Software Checker und Kompatibilitätshinweisen ein unterstütztes Ziel für die genaue Plattform und den Release-Zweig; die höchste Versionsnummer ist nicht automatisch passend.[1]
Ein Sicherheitshinweis der Korean Internet & Security Agency vom 30. Oktober nennt dieselben ersten korrigierten Versionen. Für Ausnutzbarkeit und Konfiguration bleibt Cisco die maßgebliche Quelle.[2]
| Zweig | Erste korrigierte Version |
|---|---|
| ASA 9.16 und älter / 9.18 / 9.20 / 9.22 / 9.23 / 9.24 | 9.16.4.104 / 9.18.4.96 / 9.20.4.50 / 9.22.3.200 / 9.23.1.48 / 9.24.1.27 oder 9.24.10.1 |
| FTD 7.0 und älter / 7.2 / 7.4 / 7.6 / 7.7 / 10.0 / 10.1 | 7.0.11 / 7.2.13 / 7.4.9 / 7.6.7 / 7.7.14 / 10.0.3 / 10.1.1 |
### Grenzen der Belege
Bestätigte Angaben zu Umfang, Versionen, Auswirkungen, aktiver Ausnutzung und Maßnahmen stammen aus dem Cisco-Hinweis. Er nennt weder Täter und Opfer noch Orte, Vorfallzahlen oder Datenverluste. Es geht um Unternehmens-Gateways für den Fernzugriff. Der Hinweis belegt weder einen Bruch der VPN-Verschlüsselung noch eine Schwachstelle in Verbraucher-VPN-Apps. Prüfen Sie Version und Konfiguration des eigenen Geräts, bevor Sie es als betroffen oder sicher einstufen.[1]