### Tác động đã được xác nhận
Ngày 28-10-2026, Cisco công bố tư vấn về CVE-2026-76418, mức High, CVSS 3.1 là 8,6. Lỗ hổng nằm trong dịch vụ Remote Access SSL VPN của Cisco Secure Firewall ASA và FTD Software. Cisco quy nguyên nhân cho lỗi logic khi tunnel group được cấu hình xác thực thứ cấp.[1]
Kẻ tấn công từ xa chưa xác thực có thể gửi yêu cầu được tạo đặc biệt trong lúc kết nối. Khai thác thành công có thể khiến tường lửa tải lại ngoài dự kiến và làm gián đoạn VPN: đây là từ chối dịch vụ (DoS). Cisco không mô tả thực thi mã từ xa, đánh cắp thông tin đăng nhập hay dữ liệu; vector CVSS không ghi nhận tác động bảo mật hoặc toàn vẹn. Cisco cho biết đội ứng phó đã biết về khai thác tích cực trong tháng 10-2026, nhưng không nêu số vụ, danh tính kẻ tấn công, nạn nhân hay bằng chứng mất dữ liệu.[1]
### Rà soát cấu hình và giảm thiểu
Điều kiện liên quan gồm phiên bản ASA/FTD bị ảnh hưởng, dịch vụ SSL remote-access VPN có thể truy cập và xác thực thứ cấp trong tunnel group. Kiểm tra giao diện WebVPN cùng secondary-authentication-server-group. Nếu bật tunnel-group-list, rà soát tất cả nhóm, gồm DefaultWEBVPNGroup; nếu tắt danh sách, vẫn kiểm tra nhóm mặc định. Không cần đăng nhập VPN thành công để chạm tới đường xử lý bị ảnh hưởng. Cisco xác nhận Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access và Secure FMC Software không bị ảnh hưởng.[1]
Cisco nói không có workaround khắc phục hoàn toàn. Biện pháp tạm thời là bỏ xác thực thứ cấp khỏi nhóm bị ảnh hưởng. Nếu nhóm mặc định không dùng xác thực này, có thể tắt danh sách nhóm; nếu có, Cisco nêu việc bỏ thiết lập secondary-authentication-server-group. Bỏ lớp xác thực thứ hai làm giảm mức bảo vệ và có thể ảnh hưởng dịch vụ. Hãy đánh giá, thử nghiệm theo cấu hình thực tế rồi lên kế hoạch nâng cấp; đây chỉ là giảm rủi ro tạm thời.[1]
### Bản vá và giới hạn bằng chứng
Cách khắc phục chính là nâng cấp. Dùng Cisco Software Checker để chọn bản phù hợp với nền tảng và nhánh phát hành.[1]
Các số trong bảng là mốc đầu tiên đã sửa cho từng nhánh, không có nghĩa mọi thiết bị đều dùng chung một gói nâng cấp. Riêng ASA 9.24, Cisco liệt kê hai mốc 9.24.1.27 và 9.24.10.1; quản trị viên cần đối chiếu phiên bản đang chạy, nền tảng và lộ trình được hỗ trợ trước khi lên lịch thay đổi. KISA cũng khuyến nghị người dùng đang chạy phiên bản bị ảnh hưởng cập nhật theo bản đã nêu, đồng thời dẫn Cisco làm nguồn chi tiết. Khi theo dõi khắc phục, nên ghi lại thiết bị, nhánh phần mềm, phiên bản mục tiêu và xác nhận triển khai; chỉ đọc bảng phiên bản chưa chứng minh thiết bị đã được nâng cấp.[2]
Để sàng lọc đúng điều kiện Cisco nêu, hãy ghi riêng cho từng thiết bị phiên bản đang chạy, trạng thái có thể truy cập của dịch vụ WebVPN và tunnel group áp dụng xác thực thứ cấp. Kiểm tra cả DefaultWEBVPNGroup, kể cả khi người dùng không nhìn thấy danh sách profile. Nếu chưa xác minh được cấu hình thực tế, hãy đánh dấu trạng thái là chưa xác định thay vì kết luận thiết bị an toàn. Cách rà soát này giúp đội vận hành gắn thứ tự nâng cấp với điều kiện kỹ thuật cụ thể, thay vì chỉ dựa vào tên sản phẩm hoặc việc cổng VPN có phản hồi hay không.[1]
Thông báo bảo mật của Cơ quan Internet và An ninh Hàn Quốc (KISA) ngày 30-10 cũng liệt kê các bản đầu tiên đã sửa tương ứng. Cisco vẫn là nguồn chính về điều kiện khai thác và cấu hình.[2]
Đây là vấn đề ở cổng truy cập từ xa dành cho doanh nghiệp, không phải ứng dụng VPN tiêu dùng và không cho thấy mã hóa VPN bị phá. Cisco không công bố quy mô, nạn nhân, thủ phạm hay thiệt hại dữ liệu. Bản thảo dựa trên tư vấn chính thức; hãy kiểm tra lại trước khi đăng.[1]
| Nhánh | Bản đầu tiên đã sửa |
|---|---|
| ASA 9.16 trở xuống / 9.18 / 9.20 / 9.22 / 9.23 / 9.24 | 9.16.4.104 / 9.18.4.96 / 9.20.4.50 / 9.22.3.200 / 9.23.1.48 / 9.24.1.27 hoặc 9.24.10.1 |
| FTD 7.0 trở xuống / 7.2 / 7.4 / 7.6 / 7.7 / 10.0 / 10.1 | 7.0.11 / 7.2.13 / 7.4.9 / 7.6.7 / 7.7.14 / 10.0.3 / 10.1.1 |