Cisco Firewall DoS Schwachstelle wird ausgenutzt

Eine Cisco Firewall DoS Schwachstelle wird ausgenutzt: Eine einzige präparierte Anfrage an den SSL-VPN-Login kann eine Cisco-ASA- oder Secure-FTD-Firewall unerwartet neu starten. Cisco führt sie als CVE-2026-76418 (CVSS 8,6), und die CISA hat sie am 29. Oktober in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Betroffen sind nur Firewalls, bei denen eine zweite Authentifizierung in einer Tunnelgruppe konfiguriert ist, die Standardgruppe eingeschlossen.

Was ist passiert: Die Cisco Firewall DoS Schwachstelle

Cisco hat das Advisory am 28. Oktober veröffentlicht. Ursache der Cisco Firewall DoS Schwachstelle ist ein Logikfehler im Remote-Access-SSL-VPN-Dienst, wenn in einer Tunnelgruppe eine zweite Authentifizierung (Secondary Authentication) konfiguriert ist. Ein nicht authentifizierter Angreifer schickt beim Verbindungsaufbau zum SSL-VPN eine präparierte Anfrage, und das Gerät startet neu. Für Secure FTD ergänzt Cisco, dass für den betroffenen Codepfad keine erfolgreiche VPN-Anmeldung nötig ist. Laut Advisory erfuhr Ciscos PSIRT im Oktober 2026 von aktiver Ausnutzung. Stand 30. Oktober nennen weder das Advisory noch die gelesene Berichterstattung einen Akteur, einen Beginn oder die Zahl betroffener Geräte.

Ein Gerät ist betroffen, wenn es eine verwundbare Version betreibt, der SSL-VPN-Login-Dienst erreichbar ist und eine zweite Authentifizierung im Geltungsbereich einer Tunnelgruppe konfiguriert ist. Ciscos korrigierte Versionen sind ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 sowie 9.24.1.27 oder 9.24.10.1 und FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1. Secure FMC, Cloud-delivered Firewall Management Center, Cloud-delivered Firewall und Secure Access sind nicht betroffen. Die CISA führt die Lücke als nicht geprüften Rückgabewert mit NULL-Pointer-Dereferenzierung, setzte eine Frist für US-Bundesbehörden bis zum 1. November und vermerkt die Nutzung durch Ransomware als unbekannt.

Warum das wichtig ist

Ein VPN-Gateway, das sich auf Zuruf neu startet, ist ein Verfügbarkeitsangriff auf das Arbeiten im Homeoffice. Einschätzung: Der Neustart legt zugleich alles lahm, was die Firewall sonst filtert, bis sie wieder läuft, und eine wiederholbare Anfrage kann das Gerät dauerhaft im Neustart halten. Das Advisory deutet weder Codeausführung noch Datendiebstahl an, es geht also um ein Ausfallrisiko und nicht um einen Einbruch; die CISA führt die Lücke aber als ausgenutzt, und Cisco bestätigt das.

Annahme: Viele mittelständische Unternehmen im DACH-Raum tragen absichtlich einen zweiten Authentifizierungsserver in den VPN-Login ein, als zusätzliche Prüfung. Dann ist genau die Einstellung, die den Login härten soll, die, die die Firewall angreifbar macht. Es ist in diesem Monat das zweite Cisco-Edge-Produkt mit bestätigter Ausnutzung, nach der Secure-Email-Gateway-Zero-Day-Lücke, über die wir am 19. Oktober berichtet haben. Fallen Sie unter NIS2, kann ein Ausfall, der Dienste beeinträchtigt, Meldepflichten auslösen; Ihr Incident-Plan sollte ihn abdecken.

Was Sie jetzt tun sollten

1. Prüfen Sie die Betroffenheit. Bestätigen Sie auf der ASA, dass webvpn auf einem Interface aktiviert ist, und prüfen Sie dann jede Tunnelgruppe, auch DefaultWEBVPNGroup, auf secondary-authentication-server-group. Cisco weist darauf hin, dass das auch für Gruppen gilt, die nicht in der Login-Liste erscheinen. Prüfen Sie auf FTD die Remote-Access-VPN-Richtlinie in Secure FMC oder FDM.
2. Aktualisieren Sie auf die korrigierte Version Ihres Zweigs (siehe Liste oben). Cisco empfiehlt ausdrücklich das Upgrade statt jeder Übergangslösung.
3. Wenn Sie noch nicht patchen können, dokumentiert Cisco eine Übergangslösung. Nutzt DefaultWEBVPNGroup keine zweite Authentifizierung, geben Sie im WebVPN-Konfigurationsmodus no tunnel-group-list enable ein; Nutzer müssen dann ihren Profilnamen kennen. Nutzt sie eine zweite Authentifizierung, entfernt no secondary-authentication-server-group diese, was laut Cisco das Sicherheitsniveau des VPN senkt. Testen Sie jede Änderung zuerst.
4. Achten Sie auf ungeplante Neustarts: Prüfen Sie Betriebszeit und Crash-Logs der Geräte und gleichen Sie jeden Neustart mit SSL-VPN-Verbindungsversuchen derselben Quellen ab. Veröffentlichte Kompromittierungsindikatoren haben wir nicht gefunden.

DIESEC Einschätzung

Ein Firewall-Neustart sieht wie ein Hardwaredefekt aus, bis jemand ihn mit einer Anfrage in Verbindung bringt. Machen Sie ungeplante Neustarts von Edge-Geräten zu einem Alarm in Ihrem Monitoring und legen Sie vorab fest, wer entscheidet, ob das SSL-VPN abgeschaltet wird, wenn sich die Neustarts wiederholen.

Edge-Geräte wie VPN-Gateways sind der Ort, an dem Annahmen zu Verfügbarkeit und Konfiguration zuerst auf die Probe gestellt werden. Kontinuierliches Monitoring macht aus einem unplanmäßigen Neustart einen Alarm statt eines Rätsels. Ein externer Penetrationstest zeigt, welche Ihrer VPN-Einstellungen tatsächlich aus dem Internet erreichbar sind. Und wenn Sie unter NIS2 fallen, sollte vor dem Ausfall feststehen, wer entscheidet, einen Dienst abzuschalten, und wer meldet. Mehr zu NIS2.

Nicht sicher, ob Ihre ASA- oder FTD-Tunnelgruppen eine zweite Authentifizierung nutzen? Kontaktieren Sie DIESEC für eine Firewall-Konfigurationsprüfung und Patch-Verifizierung.

Quellen: Cisco Advisory | CISA | The Hacker News
Veröffentlicht: 2026-11-02 | Kategorie: Tägliche News | ~4 Min. Lesezeit