Chyba ve VPN firewallů Cisco ASA a FTD umožňuje bez přihlášení shodit zařízení

Co se stalo

Cisco 28. října 2026 zveřejnilo bezpečnostní upozornění na chybu CVE-2026-76418 v softwaru firewallů Cisco Secure Firewall ASA (Adaptive Security Appliance) a Cisco Secure Firewall Threat Defense (FTD). Chyba je ve službě vzdáleného přístupu přes SSL VPN, tedy v části, přes kterou se zaměstnanci připojují do firemní sítě z domova nebo na cestách.

Pokud je ve skupině tunelů nastaveno sekundární ověřování, útočník bez jakéhokoli přihlášení může při připojování k VPN poslat speciálně upravený požadavek a firewall se nečekaně restartuje. Dokud zařízení znovu nenaběhne, nefunguje VPN a přerušený může být i další provoz přes firewall. Cisco chybu hodnotí jako vysoce závažnou a opravy už vydalo.

Podle serveru The Hacker News Cisco uvedlo, že se o aktivním zneužívání této chyby dozvědělo v říjnu 2026. Nezveřejnilo však, kdy útoky začaly, kdo za nimi stojí ani jaký mají rozsah. V katalogu CISA KEV ani v evropské databázi EUVD není chyba v době psaní označena jako zneužívaná. Doporučujeme ji přesto brát tak, jako by se zneužívala.

Proč je to nebezpečné

Jde o chybu typu CWE-690: program na určitém místě nezkontroluje, zda dostal platný výsledek, a pokračuje s „prázdnou“ hodnotou, na které pak spadne. Je to, jako by vrátný místo průkazu dostal prázdnou obálku, nevěděl si s ní rady a zamkl celou budovu. Podle Cisca chybu způsobují logické chyby ve zpracování, když je ve skupině tunelů (tunnel group) nastaveno sekundární ověřování.

Útok vede přes síť, typicky z internetu, protože přihlašovací stránka VPN musí být z internetu dostupná. Útočník nepotřebuje heslo ani účet. Cisco výslovně uvádí, že k zasažení chybné části kódu není potřeba úspěšné přihlášení do VPN.

Podstatné je i to, co útočník získat nemůže. Cisco popisuje jen odstavení služby (DoS). O spuštění vlastního kódu, krádeži dat nebo převzetí firewallu jeho upozornění nemluví a vektor CVSS uvádí nulový dopad na důvěrnost i integritu. Následky ale mohou být citelné: každý restart odpojí vzdálené pracovníky od firemní sítě a dokud zařízení nenaběhne, přes firewall neprochází provoz.

Skóre CVSS je 8,6 z 10 (vysoká závažnost) a přidělilo ho samo Cisco podle CVSS 3.1. Vysoké je proto, že útok je jednoduchý, vede přes síť, nevyžaduje přihlášení a má vysoký dopad na dostupnost. EPSS, který odhaduje pravděpodobnost zneužití v příštích 30 dnech, byl k 29. říjnu 2026 jen 0,57 %. Katalog CISA KEV, americký seznam potvrzeně zneužívaných chyb, ji zatím neobsahuje. Při zprávě o aktivním zneužívání ale nízký EPSS není důvod otálet.

Koho se to týká

Týká se to firem a organizací, které mají firewall Cisco se softwarem ASA nebo FTD a provozují na něm vzdálený přístup přes SSL VPN. Zařízení je zranitelné jen tehdy, když platí současně tři podmínky:

běží na něm zranitelná verze ASA nebo FTD
přihlašovací služba SSL VPN je dostupná (v konfiguraci je webvpn a SSL VPN je zapnutá alespoň na jednom rozhraní)
ve skupině tunelů je nastaveno sekundární ověřování (secondary-authentication-server-group)

Zranitelné větve jsou ASA 9.16 a starší, 9.18, 9.20, 9.22, 9.23 a 9.24 a FTD 7.0 a starší, 7.2, 7.4, 7.6, 7.7, 10.0 a 10.1, vždy před první opravenou verzí uvedenou níže.

Cisco potvrdilo, že se chyba netýká služeb Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access (CSA) ani samotného softwaru Secure FMC. Pokud SSL VPN nepoužíváte nebo nemáte nastaveno sekundární ověřování, vaše zařízení podle Cisca zranitelné není.

Jak zjistit, zda jste zasaženi

Všechny následující příkazy pouze zobrazují informace a nic nemění. Na ASA se přihlaste do CLI a zjistěte verzi softwaru:

show version

Ověřte, zda je zapnutá SSL VPN. Hledejte sekci webvpn a řádek enable s názvem rozhraní. Ve stejném výstupu uvidíte i to, zda je nastaveno tunnel-group-list enable:

show running-config webvpn

Projděte skupiny tunelů a hledejte secondary-authentication-server-group. Pokud je nastaveno tunnel-group-list enable, zkontrolujte všechny skupiny včetně výchozí DefaultWEBVPNGroup, i ty, které se na přihlašovací stránce nezobrazují. Pokud nastaveno není, zkontrolujte DefaultWEBVPNGroup. Vypnutý seznam skupin totiž riziko neodstraní.

show running-config tunnel-group

U FTD zjistěte verzi a nasazenou politiku vzdáleného přístupu v Cisco Secure FMC v Devices > VPN > Remote Access nebo v Cisco Secure FDM v části Remote Access VPN. Rychlou odpověď dá i nástroj Cisco Software Checker, do kterého zadáte číslo své verze.

Jak to opravit

Cisco vydalo opravené verze a důrazně doporučuje aktualizovat. První opravené verze pro jednotlivé větve:

ASA 9.16 a starší: 9.16.4.104
ASA 9.18: 9.18.4.96
ASA 9.20: 9.20.4.50
ASA 9.22: 9.22.3.200
ASA 9.23: 9.23.1.48
ASA 9.24: 9.24.1.27 nebo 9.24.10.1
FTD 7.0 a starší: 7.0.11
FTD 7.2: 7.2.13, FTD 7.4: 7.4.9, FTD 7.6: 7.6.7
FTD 7.7: 7.7.14, FTD 10.0: 10.0.3, FTD 10.1: 10.1.1

Doporučený postup:

Ověřte verzi a konfiguraci podle předchozí části.
Pokud jste zasaženi, naplánujte aktualizaci co nejdříve. Firewall se při ní restartuje, proto ideálně mimo pracovní dobu.
Zálohujte konfiguraci a v Cisco Software Checker ověřte, zda vybraná verze neobsahuje i jiné známé chyby.
ASA aktualizujte podle příručky Cisco Secure Firewall ASA Upgrade Guide, FTD přes Secure FMC podle příslušné příručky pro aktualizaci. U dvojice zařízení ve failoveru se držte postupu pro failover z příručky.
Po aktualizaci ověřte verzi příkazem show version a otestujte připojení přes VPN.

Dočasné řešení: Cisco uvádí, že workaround neexistuje, nabízí však zmírnění. Pokud DefaultWEBVPNGroup nepoužívá sekundární ověřování, vypněte seznam skupin příkazem no tunnel-group-list enable v režimu konfigurace WebVPN. Uživatelé pak nebudou vybírat profil ze seznamu a musí znát ten správný. Pokud ho DefaultWEBVPNGroup používá, odstraňte sekundární ověřování příkazem no secondary-authentication-server-group, čímž se ale sníží bezpečnost VPN.

Cisco upozorňuje, že zmírnění je potřeba nejdřív posoudit ve vlastním prostředí, a považuje ho jen za dočasné. Správné pořadí je tedy ověřit zasažení, aktualizovat a zmírnění použít jen tehdy, pokud aktualizaci nestihnete hned.

Co když už jste mohli být napadeni

Protože chyba podle Cisca způsobuje „jen“ restart zařízení, napadení zde znamená hlavně to, že vám někdo firewall shodil. Cisco ani The Hacker News nezveřejnily konkrétní indikátory útoku.

Na co se podívat:

dobu běhu (uptime) ve výstupu show version, která prozradí nedávný restart
záznamy o pádu zařízení přes show crashinfo
syslog a monitoring: nečekané výpadky VPN nebo internetu v posledních týdnech
hlášení uživatelů o náhlém odpojení VPN

Pokud najdete nevysvětlené restarty, zvlášť opakované, uložte si logy a výstup crashinfo a otevřete případ u Cisco TAC nebo u svého dodavatele. Cisco u této chyby popisuje jen restart zařízení, nikoli jeho převzetí. Opakované útoky na VPN ale mohou být součástí širší aktivity. Při podezření proto přizvěte bezpečnostního odborníka.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.