Chyba vo VPN firewallov Cisco ASA a FTD umožňuje bez prihlásenia zhodiť zariade…

Čo sa stalo

Cisco 28. októbra 2026 zverejnilo bezpečnostné upozornenie na chybu CVE-2026-76418 v softvéri firewallov Cisco Secure Firewall ASA (Adaptive Security Appliance) a Cisco Secure Firewall Threat Defense (FTD). Chyba je v službe vzdialeného prístupu cez SSL VPN, teda v časti, cez ktorú sa zamestnanci pripájajú do firemnej siete z domu alebo na cestách.

Ak je v skupine tunelov nastavené sekundárne overovanie, útočník bez akéhokoľvek prihlásenia môže pri pripájaní do VPN poslať špeciálne upravenú požiadavku a firewall sa nečakane reštartuje. Kým zariadenie znovu nenabehne, nefunguje VPN a prerušená môže byť aj ďalšia prevádzka cez firewall. Cisco hodnotí chybu ako vysoko závažnú a opravy už vydalo.

Podľa portálu The Hacker News Cisco uviedlo, že sa o aktívnom zneužívaní tejto chyby dozvedelo v októbri 2026. Nezverejnilo však, kedy útoky začali, kto za nimi stojí ani aký majú rozsah. V katalógu CISA KEV ani v európskej databáze EUVD nie je chyba v čase písania označená ako zneužívaná. Odporúčame ju napriek tomu brať tak, akoby sa zneužívala.

Prečo je to nebezpečné

Ide o chybu typu CWE-690: program na určitom mieste neskontroluje, či dostal platný výsledok, a pokračuje s „prázdnou“ hodnotou, na ktorej potom spadne. Je to, ako keby vrátnik dostal namiesto preukazu prázdnu obálku, nevedel si s ňou poradiť a zamkol celú budovu. Podľa Cisca chybu spôsobujú logické chyby v spracovaní, keď je v skupine tunelov (tunnel group) nastavené sekundárne overovanie.

Útok ide cez sieť, typicky z internetu, pretože prihlasovacia stránka VPN musí byť z internetu dostupná. Útočník nepotrebuje heslo ani účet. Cisco výslovne uvádza, že na zasiahnutie chybnej časti kódu nie je potrebné úspešné prihlásenie do VPN.

Podstatné je aj to, čo útočník získať nemôže. Cisco opisuje len odstavenie služby (DoS). O spustení vlastného kódu, krádeži dát či prevzatí firewallu jeho upozornenie nehovorí a vektor CVSS uvádza nulový dopad na dôvernosť aj integritu. Následky však môžu byť citeľné: každý reštart odpojí vzdialených pracovníkov od firemnej siete a kým zariadenie nenabehne, cez firewall neprechádza prevádzka.

Skóre CVSS je 8,6 z 10 (vysoká závažnosť) a pridelilo ho samotné Cisco podľa CVSS 3.1. Vysoké je preto, že útok je jednoduchý, ide cez sieť, nevyžaduje prihlásenie a má vysoký dopad na dostupnosť. EPSS, ktorý odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch, bol k 29. októbru 2026 len 0,57 %. Katalóg CISA KEV, americký zoznam potvrdene zneužívaných chýb, ju zatiaľ neobsahuje. Pri správe o aktívnom zneužívaní však nízky EPSS nie je dôvod otáľať.

Koho sa to týka

Týka sa to firiem a organizácií, ktoré majú firewall Cisco so softvérom ASA alebo FTD a prevádzkujú na ňom vzdialený prístup cez SSL VPN. Zariadenie je zraniteľné len vtedy, ak platia súčasne tri podmienky:

beží na ňom zraniteľná verzia ASA alebo FTD
prihlasovacia služba SSL VPN je dostupná (v konfigurácii je webvpn a SSL VPN je zapnutá aspoň na jednom rozhraní)
v skupine tunelov je nastavené sekundárne overovanie (secondary-authentication-server-group)

Zraniteľné vetvy sú ASA 9.16 a staršie, 9.18, 9.20, 9.22, 9.23 a 9.24 a FTD 7.0 a staršie, 7.2, 7.4, 7.6, 7.7, 10.0 a 10.1, vždy pred prvou opravenou verziou uvedenou nižšie.

Cisco potvrdilo, že chyba sa netýka služieb Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access (CSA) ani samotného softvéru Secure FMC. Ak SSL VPN nepoužívate alebo nemáte nastavené sekundárne overovanie, vaše zariadenie podľa Cisca zraniteľné nie je.

Ako zistiť, či ste zasiahnutí

Všetky nasledujúce príkazy iba zobrazujú informácie a nič nemenia. Na ASA sa prihláste do CLI a zistite verziu softvéru:

show version

Overte, či je zapnutá SSL VPN. Hľadajte sekciu webvpn a riadok enable s názvom rozhrania. V tom istom výstupe uvidíte aj to, či je nastavené tunnel-group-list enable:

show running-config webvpn

Pozrite si skupiny tunelov a hľadajte secondary-authentication-server-group. Ak je nastavené tunnel-group-list enable, skontrolujte všetky skupiny vrátane predvolenej DefaultWEBVPNGroup, aj tie, ktoré sa na prihlasovacej stránke nezobrazujú. Ak nastavené nie je, skontrolujte DefaultWEBVPNGroup. Vypnutý zoznam skupín totiž riziko neodstráni.

show running-config tunnel-group

Pri FTD si pozrite verziu a nasadenú politiku vzdialeného prístupu v Cisco Secure FMC v Devices > VPN > Remote Access alebo v Cisco Secure FDM v časti Remote Access VPN. Rýchlu odpoveď dá aj nástroj Cisco Software Checker, do ktorého zadáte číslo svojej verzie.

Ako to opraviť

Cisco vydalo opravené verzie a dôrazne odporúča aktualizovať. Prvé opravené verzie pre jednotlivé vetvy:

ASA 9.16 a staršie: 9.16.4.104
ASA 9.18: 9.18.4.96
ASA 9.20: 9.20.4.50
ASA 9.22: 9.22.3.200
ASA 9.23: 9.23.1.48
ASA 9.24: 9.24.1.27 alebo 9.24.10.1
FTD 7.0 a staršie: 7.0.11
FTD 7.2: 7.2.13, FTD 7.4: 7.4.9, FTD 7.6: 7.6.7
FTD 7.7: 7.7.14, FTD 10.0: 10.0.3, FTD 10.1: 10.1.1

Odporúčaný postup:

Overte verziu a konfiguráciu podľa predchádzajúcej časti.
Ak ste zasiahnutí, naplánujte aktualizáciu čo najskôr. Firewall sa pri nej reštartuje, preto ideálne mimo pracovného času.
Zálohujte konfiguráciu a v Cisco Software Checker overte, či vybraná verzia neobsahuje aj iné známe chyby.
ASA aktualizujte podľa príručky Cisco Secure Firewall ASA Upgrade Guide, FTD cez Secure FMC podľa príslušnej príručky na aktualizáciu. Pri dvojici zariadení vo failoveri sa držte postupu pre failover z príručky.
Po aktualizácii overte verziu príkazom show version a otestujte pripojenie cez VPN.

Dočasné riešenie: Cisco uvádza, že workaround neexistuje, ponúka však zmiernenie. Ak DefaultWEBVPNGroup nepoužíva sekundárne overovanie, vypnite zoznam skupín príkazom no tunnel-group-list enable v režime konfigurácie WebVPN. Používatelia potom nebudú vyberať profil zo zoznamu a musia poznať ten správny. Ak ho DefaultWEBVPNGroup používa, odstráňte sekundárne overovanie príkazom no secondary-authentication-server-group, čím sa však zníži bezpečnosť VPN.

Cisco upozorňuje, že zmiernenie treba najprv posúdiť vo vlastnom prostredí a považuje ho len za dočasné. Správne poradie je teda overiť zasiahnutie, aktualizovať a zmiernenie použiť len vtedy, ak aktualizáciu nestihnete hneď.

Čo ak už ste mohli byť napadnutí

Keďže chyba podľa Cisca spôsobuje „iba“ reštart zariadenia, napadnutie tu znamená najmä to, že vám niekto firewall zhodil. Cisco ani The Hacker News nezverejnili konkrétne indikátory útoku.

Na čo sa pozrieť:

čas behu (uptime) vo výstupe show version, ktorý prezradí nedávny reštart
záznamy o páde zariadenia cez show crashinfo
syslog a monitorovanie: nečakané výpadky VPN alebo internetu v posledných týždňoch
hlásenia používateľov o náhlom odpojení VPN

Ak nájdete nevysvetlené reštarty, najmä opakované, uložte si logy a výstup crashinfo a otvorte prípad u Cisco TAC alebo u svojho dodávateľa. Cisco pri tejto chybe opisuje len reštart zariadenia, nie jeho prevzatie. Opakované útoky na VPN však môžu byť súčasťou širšej aktivity. Pri podozrení preto prizvite bezpečnostného odborníka.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Chyba vo VPN firewallov Cisco ASA a FTD umožňuje bez prihlásenia zhodiť zariadenie

Aktualizácie