Cisco hat Sicherheitsupdates für eine aktiv ausgenutzte Zero-Day-Schwachstelle in seiner Firewall-Software Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) veröffentlicht. Über CVE-2026-76418 können nicht authentifizierte Angreifer ein betroffenes Gerät aus der Ferne zum Neustart bringen. Die Folge ist ein Denial-of-Service, der insbesondere den über die Firewall bereitgestellten SSL-VPN-Zugang unterbrechen kann.
Der Fehler hat einen CVSS-v3.1-Wert von 8,6 und damit einen hohen Schweregrad. Cisco veröffentlichte die korrigierten Softwarestände am 28. Oktober 2026, nachdem das Product Security Incident Response Team im Oktober Hinweise auf eine aktive Ausnutzung gefunden hatte. Angaben zu Angreifern, Zielen oder dem Umfang der beobachteten Attacken liegen nicht vor. Cisco hat auch keine Indicators of Compromise veröffentlicht.
Entscheidend für Betreiber ist die Konfiguration: Nicht jedes erreichbare Cisco-SSL-VPN ist automatisch über diese Lücke angreifbar. Der bekannte Angriffspfad setzt voraus, dass der SSL-Remote-Access-VPN-Dienst erreichbar und in einer Tunnelgruppe eine sekundäre Authentifizierung eingerichtet ist. Gerade diese Einschränkung macht eine reine Produktsuche unzureichend – die tatsächliche Betroffenheit lässt sich erst anhand der laufenden Software und der VPN-Konfiguration bestimmen.
Das Risiko hängt an der Tunnelgruppen-Konfiguration
Nach Angaben von Cisco entsteht die Schwachstelle durch Logikfehler bei der Verarbeitung einer sekundären Authentifizierung innerhalb einer Tunnelgruppe. Ein entfernter Angreifer kann beim Verbindungsaufbau zum SSL-Remote-Access-VPN eine präparierte Anfrage senden. Eine Anmeldung oder ein bestehendes Benutzerkonto ist dafür nicht erforderlich. Bei erfolgreicher Ausnutzung lädt das Gerät unerwartet neu.
Voraussetzungen und Wirkung von CVE-2026-76418
Die Grafik zeigt den bekannten Angriffspfad: Ein nicht authentifizierter Angreifer erreicht den SSL-VPN-Dienst eines ungepatchten Cisco-Geräts, auf dessen Tunnelgruppe sekundäre Authentifizierung aktiv ist. Eine präparierte Anfrage kann dann einen Neustart und Denial-of-Service auslösen.
Betroffen sind ASA- und FTD-Installationen, deren Konfiguration das Schlüsselwort webvpn enthält und bei denen SSL-VPN auf mindestens einer Schnittstelle aktiviert ist. Für den konkret beschriebenen Angriff muss zusätzlich die sekundäre Authentifizierung in der verwendeten Tunnelgruppe konfiguriert sein und der VPN-Anmeldedienst aus dem Netz des Angreifers erreichbar sein.
Die Wirkung ist auf Verfügbarkeit gerichtet: Die vorliegenden Informationen beschreiben weder eine Ausführung fremden Codes noch einen Diebstahl von Daten. Das relativiert die technische Reichweite, nicht aber das operative Risiko. Ein erzwungener Neustart einer zentralen Firewall oder eines VPN-Gateways kann laufende Verbindungen abbrechen. Lässt sich der Angriff wiederholen, kann der Fernzugang für Beschäftigte oder Dienstleister unzuverlässig werden.
Diese Versionen schließen CVE-2026-76418
Für ASA nennt Cisco die korrigierten Versionen 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 und 9.24.10.1. Für FTD stehen die bereinigten Versionen 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1 bereit.
Betreiber sollten zunächst ermitteln, welche ASA- und FTD-Systeme einen extern erreichbaren SSL-VPN-Dienst bereitstellen. Anschließend sind Softwarestand und Tunnelgruppen einschließlich der sekundären Authentifizierung zu prüfen. Cisco empfiehlt ausdrücklich das Upgrade auf eine korrigierte Version. Bei Firewalls sollte die Aktualisierung trotz der Dringlichkeit in ein kontrolliertes Wartungsfenster fallen, weil auch der reguläre Update-Vorgang Auswirkungen auf laufende Verbindungen haben kann.
Die Übergangslösung verändert die Anmeldung
Cisco nennt keinen vollständigen Workaround, der den Softwarefehler beseitigt. Wenn ein Update nicht sofort möglich ist, lässt sich der bekannte Angriffspfad vorübergehend entschärfen, indem die sekundäre Authentifizierung in der Standard-Tunnelgruppe DefaultWEBVPNGroup und in betroffenen benutzerdefinierten Tunnelgruppen deaktiviert wird.
Diese Maßnahme ist kein gleichwertiger Ersatz für den Patch. Sie verändert ausgerechnet den Authentifizierungsaufbau des externen Zugangs und muss deshalb gegen die eigenen Sicherheitsvorgaben geprüft werden. Je nach Umsetzung kann eine Organisation damit kurzfristig zwischen zwei Risiken abwägen müssen: einem erreichbaren DoS-Angriff auf die Firewall und dem Verzicht auf einen zusätzlichen Authentifizierungsschritt. Die Konfigurationsänderung sollte daher dokumentiert, auf die tatsächlich betroffenen Tunnelgruppen begrenzt und nach dem Update wieder anhand des vorgesehenen Sollzustands geprüft werden.
51.000 sichtbare Geräte sind nicht 51.000 verwundbare Geräte
Die Internet-Monitoring-Plattform Shadowserver erfasst mehr als 51.000 öffentlich erreichbare Cisco-ASA-SSL-VPN-Geräte. Diese Zahl beschreibt jedoch die sichtbare Angriffsfläche und nicht die Zahl der nachweislich verwundbaren Systeme. Von außen lässt sich daraus weder zuverlässig der Patchstand noch die für CVE-2026-76418 erforderliche sekundäre Authentifizierung ableiten. Unter den erfassten Adressen können zudem bereits aktualisierte Systeme oder Honeypots sein.
Für die Priorisierung bleibt die Zahl dennoch relevant: SSL-VPN-Gateways sind absichtlich aus dem Internet erreichbar und können deshalb unmittelbar getestet oder angegriffen werden. Anders als bei einer internen Anwendung schützt hier keine vorgelagerte Netzgrenze vor dem ersten Kontakt. Eine aktive Ausnutzung trifft damit auf eine große, leicht auffindbare Produktpopulation – aber nur ein Teil davon dürfte die notwendige Konfiguration besitzen.
Ein unerwarteter Neustart verdient jetzt eine Untersuchung
Weil Cisco keine Informationen zu Zielen, Angriffswerkzeugen oder Indicators of Compromise veröffentlicht hat, können Betreiber nicht einfach nach einer bekannten IP-Adresse oder Dateisignatur suchen. Unerklärte Neustarts betroffener Geräte sollten deshalb zeitlich geprüft und mit VPN- sowie Geräteereignissen abgeglichen werden. Ein Neustart allein beweist keinen Angriff, ist bei passender Version und Konfiguration aber ein Anlass zur Untersuchung.
Die operative Reihenfolge ist damit klar: Exponierte SSL-VPN-Systeme inventarisieren, die sekundäre Authentifizierung pro Tunnelgruppe prüfen, korrigierte Releases einspielen und nur bei unvermeidbarer Verzögerung die Konfiguration vorübergehend ändern. Der entscheidende Punkt ist nicht die Gesamtzahl der Cisco-Firewalls im Netz, sondern die Kombination aus erreichbarem VPN-Dienst, sekundärer Authentifizierung und ungepatchtem Softwarestand. Erst diese drei Merkmale machen aus der allgemeinen Warnung einen konkreten Vorfall für den eigenen Betrieb.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
