Cisco ASA ve FTD güvenlik duvarlarındaki sıfırıncı gün açığı saldırılarda kullanılıyor, SSL VPN üzerinden cihaz yeniden başlatılabiliyor

Cisco, 28 Ekim’de yayımladığı güvenlik bildiriminde Secure Firewall Adaptive Security Appliance (ASA) ve Secure Firewall Threat Defense (FTD) yazılımlarındaki CVE-2026-76418’i kapattı. Bildirime göre Cisco’nun ürün güvenliği ekibi PSIRT, açığın aktif olarak istismar edildiğini Ekim ayında öğrendi. BleepingComputer ve SecurityWeek açığı, düzeltmesi yayımlanmadan saldırılarda kullanılan bir sıfırıncı gün açığı olarak tanımlıyor. BleepingComputer’a göre Cisco saldırılarla ilgili ele geçirme belirtisi paylaşmadı, kimlerin hedef alındığını ve saldırıları kimin yaptığını açıklamadı.

Açığın etkisi

Açık, ASA ve FTD’nin SSL uzaktan erişim VPN servisinde bulunuyor. Cisco’ya göre bir tünel grubunda ikincil kimlik doğrulama tanımlandığında ortaya çıkan mantık hatalarından kaynaklanıyor. Giriş yapmamış bir saldırgan, SSL uzaktan erişim VPN’ine bağlanırken özel hazırlanmış bir istek göndererek cihazın beklenmedik şekilde yeniden başlamasına ve hizmetin kesilmesine yol açabiliyor. Cisco, etkilenen işleme adımına ulaşmak için başarılı bir VPN girişinin gerekmediğini belirtiyor. Açığın CVSS 3.1 puanı 8.6.

Bir cihazın etkilenmesi için üç koşulun bir arada olması gerekiyor: Cihazda açığın bulunduğu bir ASA ya da FTD sürümü çalışmalı, SSL uzaktan erişim VPN giriş servisine erişilebilmeli ve tünel grubunda ikincil kimlik doğrulama tanımlı olmalı. Cisco’ya göre çalışan yapılandırmada webvpn ifadesi varsa ve SSL VPN en az bir arayüzde açıksa yapılandırma açığa açık. Tünel grubu listesi açıksa varsayılan grup DefaultWEBVPNGroup dahil bütün tünel gruplarında, kapalıysa varsayılan grupta secondary-authentication-server-group ayarının olup olmadığına bakılması gerekiyor.

Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access ve Secure Firewall Management Center (FMC) yazılımı bu açıktan etkilenmiyor.

SecurityWeek’e göre bu, Ağustos’tan bu yana Cisco’nun güvenlik duvarı VPN’inde saldırılarda kullanılan ikinci sıfırıncı gün açığı. BleepingComputer’a göre Cisco Ağustos’ta da ASA ve FTD cihazlarını çökertmek için kullanılan başka bir hizmet dışı bırakma açığını (CVE-2026-20349) kapatmıştı.

Düzeltilmiş sürümler

Cisco Secure Firewall ASA:

• 9.16 ve öncesi: 9.16.4.104
• 9.18: 9.18.4.96
• 9.20: 9.20.4.50
• 9.22: 9.22.3.200
• 9.23: 9.23.1.48
• 9.24: 9.24.1.27 ve 9.24.10.1

Cisco Secure FTD:

• 7.0 ve öncesi: 7.0.11
• 7.2: 7.2.13
• 7.4: 7.4.9
• 7.6: 7.6.7
• 7.7: 7.7.14
• 10.0: 10.0.3
• 10.1: 10.1.1

Önerilen önlemler

Cisco düzeltilmiş bir sürüme geçilmesini öneriyor. Açık için bir geçici çözüm yok, ancak Cisco’nun test ortamında işe yaradığını belirttiği bir hafifletme yöntemi var: İkincil kimlik doğrulamayı tünel grubu listesinden ya da varsayılan grup DefaultWEBVPNGroup’tan kaldırmak.

• Varsayılan grup ikincil kimlik doğrulama kullanmıyorsa, WebVPN yapılandırma modunda no tunnel-group-list enable komutuyla tünel grubu listesi kapatılabilir. Bu durumda kullanıcılar giriş sayfasındaki listeden bağlantı profili seçemez, doğru profili kendileri bilmek zorunda kalır.
• Varsayılan grup ikincil kimlik doğrulama kullanıyorsa, no secondary-authentication-server-group komutuyla ikincil kimlik doğrulama kaldırılabilir. Cisco bunun uzaktan erişim VPN’inin güvenlik düzeyini düşürdüğünü belirtiyor.

Cisco, bu tür önlemlerin ağın işleyişini ve güvenliğini olumsuz etkileyebileceğini, uygulanmadan önce kendi ortamınızda değerlendirilmesi gerektiğini hatırlatıyor.