Cisco vừa vá CVE-2026-76418, lỗ hổng trong dịch vụ Remote Access SSL VPN của Cisco Secure Firewall ASA và Secure FTD, cho phép kẻ tấn công chưa đăng nhập làm firewall khởi động lại. Cisco xác nhận lỗi đã bị khai thác trong tháng 10/2026, và ngày 29/10/2026 CISA đưa lỗi vào danh mục lỗ hổng đang bị khai thác (KEV) cùng lúc với lỗi GitLab CVE-2026-97229.

Tóm tắt nhanh

  • Lỗ hổng: CVE-2026-76418, lỗi logic trong dịch vụ SSL VPN, CWE-690, mã lỗi CSCwx26625.
  • Mức độ: High, CVSS 3.1 là 8.6.
  • Hậu quả: thiết bị khởi động lại bất ngờ, gián đoạn VPN và lưu lượng đi qua firewall.
  • Điều kiện: bật SSL VPN và có tunnel group dùng xác thực thứ cấp (secondary authentication).
  • Tình trạng: Cisco PSIRT ghi nhận khai thác thực tế; CISA thêm vào KEV ngày 29/10/2026, hạn 1/11/2026.

Lỗ hổng hoạt động thế nào?

Theo advisory phát hành ngày 28/10/2026, khi tunnel group được cấu hình xác thực thứ cấp, một yêu cầu được tạo đặc biệt gửi trong lúc kết nối tới SSL VPN sẽ khiến thiết bị reload. Điểm nguy hiểm là kẻ tấn công không cần đăng nhập VPN thành công vẫn chạm được tới đoạn mã lỗi. Lỗi được Eric Fernald phát hiện trong quá trình xử lý một yêu cầu hỗ trợ của Cisco TAC.

Security Affairs cho biết Cisco chưa công bố ai đứng sau các vụ khai thác, bao nhiêu tổ chức bị nhắm tới hay kẻ tấn công đã làm gì sau đó. Với doanh nghiệp dùng ASA làm cổng VPN cho nhân viên làm việc từ xa, mỗi lần firewall khởi động lại đồng nghĩa với việc mất kết nối toàn bộ phiên VPN và có thể cả lưu lượng tới máy chủ phía sau.

Cách kiểm tra cấu hình có bị ảnh hưởng

  1. Cấu hình đang chạy có từ khóa webvpn và SSL VPN được bật trên ít nhất một interface.
  2. Nếu có tunnel-group-list enable, kiểm tra mọi tunnel group, kể cả DefaultWEBVPNGroup, xem có secondary-authentication-server-group hay không.
  3. Nếu không bật group list, vẫn phải kiểm tra DefaultWEBVPNGroup. Tắt group list không loại bỏ rủi ro nếu nhóm mặc định dùng xác thực thứ cấp.
  4. Với FTD, xem chính sách Remote Access VPN trong FMC (Devices > VPN > Remote Access) hoặc FDM.

Phiên bản đã vá

Sản phẩmBản vá đầu tiên theo nhánh
ASA 9.16 trở xuống9.16.4.104
ASA 9.18 / 9.20 / 9.229.18.4.96 / 9.20.4.50 / 9.22.3.200
ASA 9.23 / 9.249.23.1.48 / 9.24.1.27 và 9.24.10.1
FTD 7.0 trở xuống / 7.2 / 7.47.0.11 / 7.2.13 / 7.4.9
FTD 7.6 / 7.77.6.7 / 7.7.14
FTD 10.0 / 10.110.0.3 / 10.1.1

Cloud-delivered Firewall, cloud-delivered FMC, Secure Access và Secure FMC Software không bị ảnh hưởng. Cisco khuyến nghị dùng Cisco Software Checker để xác định đúng bản cần nâng cấp.

Giảm thiểu tạm thời

Cisco cho biết không có workaround xử lý triệt để. Hãng mô tả hai biện pháp đã thử trong phòng lab:

  • Trường hợp 1: nếu DefaultWEBVPNGroup không dùng xác thực thứ cấp, chạy no tunnel-group-list enable trong chế độ cấu hình WebVPN. Người dùng sẽ phải nhập đúng tên connection profile thay vì chọn từ danh sách.
  • Trường hợp 2: nếu nhóm mặc định dùng xác thực thứ cấp, chạy no secondary-authentication-server-group. Cách này làm giảm mức bảo mật của VPN.

Cisco yêu cầu tự đánh giá tác động trước khi áp dụng và vẫn khuyến nghị nâng cấp. Đây là lần thứ hai trong tháng 10 thiết bị biên bị nhắm tới, sau loạt sự cố Ivanti, FortiMail và NetScaler đã điểm trong bài thiết bị biên tháng 10/2026. Lỗi GitLab vào KEV cùng ngày được phân tích chi tiết tại GitLab CVE-2026-97229 bị khai thác.

Nguồn tham khảo