Público: administradores de Cisco Secure Firewall ASA e FTD que expõem a VPN SSL à internet. Esta página se baseia no aviso da Cisco, no NVD e na lista KEV da CISA; não contém passos de ataque nem código de exploração.
Em andamento: esta página será atualizada conforme mais informações forem publicadas
Em 29 de outubro de 2026 (JST)Ainda não se sabe
- Quem está sendo atacado e em que escala (a Cisco não publicou detalhes)
- Uma inclusão no KEV da CISA (não estava na lista publicada às 19h00 UTC de 28 de outubro)
- A avaliação própria do NVD (situação: Received)
- Um alerta do JPCERT/CC (nenhum encontrado)
A Cisco publicou o aviso em 28 de outubro (UTC) com as versões corrigidas, como versão final 1.0, e diz que tomou conhecimento de exploração em outubro de 2026.
O que fazer hoje
Verifique se você expõe a VPN SSL
No ASA, procure webvpn na configuração em execução com enable em pelo menos uma interface. No FTD, revise a política de VPN de acesso remoto implantada no FMC ou no FDM e a configuração resultante. A Cisco também coloca como condição que o serviço de login seja acessível.
Encontre grupos de túnel com autenticação secundária
A Cisco manda procurar secondary-authentication-server-group nos grupos de túnel. Se tunnel-group-list enable estiver configurado, verifique todos os grupos, incluindo os que não aparecem na página de login. Se não estiver, verifique o DefaultWEBVPNGroup: remover a lista de grupos não elimina a exposição se o grupo padrão usa autenticação secundária. Não é preciso um login VPN bem-sucedido para alcançar o código afetado.
Atualize para uma versão corrigida
Passe para pelo menos a versão da tabela abaixo. O Cisco Software Checker pode confirmar se a sua versão é afetada. Se você atualizou em agosto por causa do CVE-2026-20349, note que as versões corrigidas deste aviso são mais novas, então pode ser preciso atualizar de novo.
Decida uma mitigação provisória se ainda não puder atualizar
Se o DefaultWEBVPNGroup não usa autenticação secundária, no tunnel-group-list enable desativa a lista de grupos; os usuários então precisam saber o nome do perfil de conexão. Se usa, no secondary-authentication-server-group a remove, mas reduz a segurança do acesso remoto. A Cisco chama ambas de temporárias e pede que sejam testadas antes.
Monitore reinicializações e planeje a queda da VPN
Procure no seu monitoramento de logs ou nos alertas de syslog reinicializações que você não consiga explicar (avaliação nossa). Decida hoje quem toma a decisão, como a equipe remota será avisada e qual trabalho para se a VPN cair.
Versões corrigidas
| Produto | Linha | Primeira versão corrigida |
|---|---|---|
| ASA | 9.16 e anteriores | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27, 9.24.10.1 |
| FTD | 7.0 e anteriores | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
A Cisco diz que Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC Software não são afetados.
1. VPN SSL habilitada
webvpn habilitado em pelo menos uma interface
2. Serviço de login acessível
Conectável a partir da internet ou de outras redes
3. Autenticação secundária configurada
secondary-authentication-server-group em um grupo de túnel
O que foi divulgado
- CVE
- CVE-2026-76418 (aviso da Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, ID do bug CSCwx26625)
- Tipo
- CWE-690. Um erro de lógica quando há autenticação secundária configurada em um grupo de túnel
- Gravidade
- CVSS v3.1 8.6 (Cisco). Rede, sem autenticação, sem interação do usuário. Apenas impacto na disponibilidade
- Impacto
- Um invasor remoto sem autenticação pode fazer o dispositivo reiniciar, causando negação de serviço
- Divulgação
- 28 de outubro de 2026 (UTC), versão final 1.0. Encontrada durante um caso de suporte do Cisco TAC
- Exploração
- A Cisco PSIRT diz que tomou conhecimento de exploração em outubro de 2026; sem detalhes sobre quem ou em que escala
- Solução alternativa
- Nenhuma. As mitigações provisórias estão no passo 4 acima
O NVD registrou o CVE no mesmo dia com situação Received e apenas a pontuação da Cisco. O registro inclui também uma avaliação do coordenador da CISA que lista a exploração como "none" (28 de outubro, por volta das 22h45 UTC), o que conflita com a declaração da Cisco. Reverifique mais tarde para ver qual reflete informação mais recente.
Relação com o CVE-2026-20349 de agosto
O mesmo serviço de VPN SSL do ASA e do FTD teve o CVE-2026-20349 (CVSS 8.6, uma requisição HTTP manipulada reinicia o dispositivo) divulgado em 11 de agosto, com a Cisco ciente de exploração e a CISA o adicionando ao KEV no mesmo dia. É uma falha diferente, com outra causa e outra condição (aqui, a autenticação secundária). Dois pontos para os defensores:
- A Cisco diz que viu exploração de duas falhas que reiniciam sem login a mesma classe de dispositivo, divulgadas com cerca de 2,5 meses de diferença (11 de agosto e 28 de outubro). Planeje para que dispositivos de VPN SSL reiniciem
- As versões corrigidas são diferentes, então um dispositivo corrigido em agosto ainda pode estar aquém. Para o ASA 9.18, a correção de agosto é a 9.18.4.94 e esta é a 9.18.4.96
O que ainda não se sabe
| Item | Situação |
|---|---|
| Exploração real | A Cisco diz que tem conhecimento; sem detalhes |
| Inclusão no KEV | Não estava na lista publicada às 19h00 UTC de 28 de outubro |
| Avaliação do NVD | Received (apenas a pontuação da Cisco) |
| Alerta de órgão público japonês | Nenhum encontrado em nossa verificação |
Fontes
Consultadas em 29 de outubro de 2026.
- Cisco, "Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability" (cisco-sa-asaftd-tunnel-dos-s6mgkb75, 28 de outubro de 2026) — cisco.com
- NVD, CVE-2026-76418 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog — cisa.gov
- Cisco, "Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability" (cisco-sa-asaftd-vpn-dos-dzv4mQFF, CVE-2026-20349, 11 de agosto de 2026, atualizado em 16 de setembro) — cisco.com
Histórico de atualizações
2026-10-29: Primeira versão, com base no aviso da Cisco (28 de outubro), no NVD e na lista KEV da CISA.
Leia em seguida
- Defesa de dispositivos de VPN: Como defender dispositivos de VPN e o acesso remoto
- Exploradas no mesmo mês: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Priorizar correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Passos de resposta: Guia de correção de vulnerabilidades
- Termos: O que é CVSS?