CVE-2026-76418: DoS su Cisco ASA e FTD sfruttato, come verificare e applicare la patch

Cisco ha pubblicato un advisory per CVE-2026-76418, una vulnerabilità nel servizio Remote Access SSL VPN di Cisco Secure Firewall ASA Software e Cisco Secure FTD Software. Un attaccante remoto, senza credenziali, può far riavviare il firewall con una richiesta costruita ad arte. CISA l'ha inserita nel catalogo KEV, quindi è già sfruttata. Non esistono workaround: l'unico rimedio è aggiornare il software. Se hai un ASA o un FTD con la VPN SSL esposta su internet e l'autenticazione secondaria attiva su un tunnel group, devi intervenire ora.

Cosa è successo: la vulnerabilità CVE-2026-76418 in Cisco Secure Firewall ASA e FTD

L'advisory Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, pubblicato il 28 ottobre 2026 e associato al bug CSCwx26625, descrive un errore di logica nel servizio Remote Access SSL VPN quando su un tunnel group è configurata l'autenticazione secondaria. Tecnicamente è un unchecked return value to NULL pointer dereference, classificato come CWE-690: il codice non verifica il valore di ritorno di una funzione e dereferenzia un puntatore nullo. Il risultato è il reload improvviso del dispositivo, cioè un denial of service (DoS). L'attacco parte da una richiesta malformata inviata durante la connessione alla VPN SSL, prima di qualsiasi login.

Chi è colpito: versioni vulnerabili di Cisco Secure Firewall ASA e FTD

Sono colpiti i dispositivi Cisco che soddisfano insieme tre condizioni:

• eseguono una release vulnerabile di Cisco Secure Firewall ASA Software o Cisco Secure FTD Software;
• hanno il servizio di login SSL Remote Access VPN raggiungibile, cioè webvpn abilitato su almeno un'interfaccia;
• hanno un tunnel group con secondary-authentication-server-group configurato, incluso il gruppo predefinito DefaultWEBVPNGroup.

L'elenco puntuale delle release vulnerabili e di quelle corrette è nella sezione Fixed Software dell'advisory Cisco e va verificato lì per la propria versione. Se la VPN SSL non è attiva o nessun tunnel group usa l'autenticazione secondaria, il dispositivo non è esposto a questo specifico problema, ma resta comunque opportuno aggiornare.

Quanto è grave: punteggio CVSS e sfruttamento attivo di CVE-2026-76418

Cisco assegna un CVSS 3.1 base di 8.6, gravità High, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H. In pratica: attacco via rete, bassa complessità, nessun privilegio, nessuna interazione dell'utente, impatto solo sulla disponibilità ma con cambio di scope. NVD non ha ancora assegnato un proprio punteggio.

Il punto più rilevante è che la vulnerabilità è nel catalogo CISA KEV, con scadenza di rimedio per le agenzie federali USA fissata al 1 novembre 2026, a tre giorni dalla pubblicazione. Un termine così breve indica sfruttamento in corso. Non è noto se venga usata in campagne ransomware. L'attaccante non ottiene esecuzione di codice né accesso ai dati: ottiene il riavvio del firewall. Per una PMI significa VPN giù, sedi remote isolate, eventualmente l'intera connettività perimetrale interrotta a ripetizione, perché l'attacco può essere ripetuto a ogni ripristino.

Come capire se sei esposto: verifica versione, esposizione e log

Versione installata

Su ASA, da CLI: show version mostra la release in esecuzione. Su FTD gestito da FMC, la versione è visibile in Devices > Device Management; con FDM, nella pagina di riepilogo del dispositivo. Confronta il valore con la sezione Fixed Software dell'advisory.

SSL VPN abilitata

Su ASA: show running-config webvpn. Se compare enable nome_interfaccia, il servizio è attivo su quell'interfaccia. Su FTD la funzione si trova in Devices > VPN > Remote Access nel FMC, oppure in Remote Access VPN nel FDM.

Autenticazione secondaria sui tunnel group

Su ASA: show running-config tunnel-group e cerca la riga secondary-authentication-server-group. Controlla tutti i tunnel group, compreso DefaultWEBVPNGroup, anche quelli non mostrati nel menu a tendina della pagina di login. Se è presente tunnel-group-list enable, la verifica va estesa a ogni gruppo configurato.

Esposizione su internet

Da una rete esterna, verifica se la porta HTTPS dell'interfaccia outside risponde con la pagina di login della VPN. Se risponde, chiunque può inviare la richiesta malformata.

Indicatori di compromissione

Il sintomo è il reload non pianificato. Controlla l'uptime con show version, la presenza di crash con show crashinfo e i syslog inviati al server di log esterno per riavvii inattesi, in particolare preceduti da tentativi di connessione alla VPN SSL. Se il log è solo locale, un reload lo cancella: è una delle ragioni per cui conviene avere un syslog centralizzato.

Come risolvere la vulnerabilità CVE-2026-76418: patch e aggiornamento

Cisco ha rilasciato aggiornamenti software che correggono il problema. Le release corrette vanno individuate nella sezione Fixed Software dell'advisory, in base alla train in uso, e scaricate dal Software Center Cisco con un contratto di supporto valido. L'advisory dichiara esplicitamente che non esistono workaround: nessuna modifica di configurazione elimina la vulnerabilità mantenendo attiva la funzione.

Per FTD l'aggiornamento passa dal FMC o dal FDM; per ASA si carica l'immagine e si cambia l'immagine di boot. Pianifica una finestra di manutenzione, fai backup della configurazione e verifica che il dispositivo abbia spazio e memoria sufficienti prima di procedere. Se usi coppie in alta disponibilità, segui la procedura di upgrade senza interruzione documentata da Cisco.

Cosa fare subito: mitigazioni e hardening di Cisco ASA e FTD

1. Aggiorna alla release corretta. È l'unica misura risolutiva.
2. Se non puoi aggiornare subito e l'autenticazione secondaria non è indispensabile, valuta di rimuoverla dai tunnel group interessati. Questo elimina una delle condizioni di esposizione, ma è una decisione da pesare: riduce la sicurezza del login VPN.
3. Limita la raggiungibilità del portale SSL VPN con ACL sull'interfaccia esterna, se i tuoi utenti si collegano da indirizzi noti.
4. Se la VPN SSL non è usata, disabilitala sull'interfaccia esposta.
5. Attiva o verifica l'invio dei syslog a un server esterno e monitora gli uptime.
6. Rivedi il piano di continuità: un firewall che si riavvia a ripetizione è un'interruzione di servizio da gestire, come spiego nell'articolo sul disaster recovery per PMI.

Per chi sta valutando alternative di accesso remoto più leggere, ho scritto una guida su WireGuard per PMI; non è un sostituto diretto di un firewall enterprise, ma aiuta a ragionare sulla superficie esposta.

Se sospetti una compromissione: incident response e analisi forense

Questa vulnerabilità da sola causa un DoS, non un accesso. Ma riavvii ripetuti del firewall possono essere il segnale di qualcuno che sta sondando la tua rete, o la copertura per altre attività. Se noti reload anomali:

• non resettare il dispositivo alle impostazioni di fabbrica e non cancellare i file di crash;
• esporta subito show tech-support, i crashinfo e i syslog esterni e conservali con hash;
• verifica i log degli altri sistemi raggiunti dalla VPN per accessi anomali nello stesso periodo;
• se emergono indizi di accesso non autorizzato, valuta la notifica al Garante entro i termini del GDPR e, per i soggetti NIS2, al CSIRT Italia.

Nel mio lavoro di incident response seguo esattamente questo ordine: prima si preservano le evidenze, poi si analizza, infine si ripristina. Trovi il dettaglio dei servizi di cybersecurity e incident response dello studio.

Fonti ufficiali su CVE-2026-76418

• Cisco Security Advisory cisco-sa-asaftd-tunnel-dos-s6mgkb75
• NVD: CVE-2026-76418
• CISA BOD 26-04: Prioritizing Security Updates Based on Risk
• CISA BOD 26-04: Implementation Guidance

Hai un Cisco ASA o FTD e vuoi una verifica indipendente?

Se non sei sicuro della tua configurazione, se il firewall si è riavviato senza motivo o se vuoi un audit della rete perimetrale, posso verificare esposizione, versione e log e seguirti nell'aggiornamento. Lavoro di persona a Varese, Como, Milano e Nord Lombardia, da remoto nel resto d'Italia. Richiedi un preventivo gratuito: rispondo entro 24 ore.