Cisco: פרצת יום אפס חדשה ב-VPN של חומות האש ASA ו-FTD, שנייה מאז אוגוסט
Cisco פרסמה ב-28 באוקטובר תיקון לחולשה CVE-2026-76418, שמאפשרת לתוקף בלי סיסמה לגרום לחומת האש לאתחל את עצמה ולנתק את ה-VPN. החברה מאשרת שתוקפים כבר מנצלים אותה.
TL;DR בקצרה
- Cisco פרסמה ב-28 באוקטובר עדכון לחולשה CVE-2026-76418 בשירות ה-SSL VPN של ASA ו-FTD, בדירוג 8.6.
- תוקף מרוחק, בלי שם משתמש וסיסמה, יכול לגרום למכשיר לאתחל את עצמו ולנתק את משתמשי ה-VPN.
- החולשה רלוונטית רק כשמוגדר אימות משני באחת מקבוצות המנהרה, כולל קבוצת ברירת המחדל.
- Cisco מאשרת ניצול בפועל באוקטובר ואין עקיפה מלאה: הפתרון הוא עדכון גרסה.
Cisco פרסמה ב-28 באוקטובר עדכון לחולשה CVE-2026-76418, ומאשרת שתוקפים כבר מנצלים אותה. החולשה פוגעת בשירות ה-SSL VPN של חומות האש Secure Firewall ASA ו-FTD. תוקף מרוחק יכול לגרום למכשיר לאתחל את עצמו, בלי שם משתמש ובלי סיסמה. בזמן האתחול, מי שעובד מרחוק מאבד את החיבור לרשת הארגון.
זו פרצת יום אפס, כלומר חולשה שתוקפים ניצלו עוד לפני שהיה לה תיקון. לפי SecurityWeek, זו הפרצה השנייה מהסוג הזה ב-VPN של חומות האש של Cisco מאז אוגוסט.
מה בדיוק מאפשרת CVE-2026-76418
לפי ההודעה הרשמית של Cisco, מקור הבעיה בשגיאות לוגיקה. הן מופיעות כשמוגדר אימות משני (secondary authentication) בקבוצת מנהרה, ה-tunnel group שדרכה משתמשים מתחברים. התוקף שולח בקשה מעוצבת במיוחד בזמן ניסיון ההתחברות. הוא לא צריך להצליח להתחבר כדי להגיע לקוד הפגיע.
Cisco מדרגת את החולשה 8.6 מתוך 10, בחומרה גבוהה. הנזק הוא מניעת שירות (DoS): המכשיר מבצע אתחול, וכל החיבורים נופלים. Cisco לא מדווחת על גניבת מידע או על הרצת קוד. היא גם לא מסרה פרטים על התוקפים או על הארגונים שנפגעו.
את החולשה גילה Eric Fernald, בזמן טיפול בפנייה למרכז התמיכה של Cisco. לדברי החברה, צוות האבטחה שלה למד על ניצול בפועל במהלך אוקטובר.
מי חשוף ל-CVE-2026-76418, ואיך בודקים
לא כל ASA או FTD פגיע. שלושה תנאים צריכים להתקיים יחד. הראשון הוא גרסה פגיעה. השני הוא שירות כניסה ל-SSL VPN שזמין מהרשת. השלישי הוא אימות משני באחת מקבוצות המנהרה.
הבדיקה צריכה לכסות את כל הקבוצות, כולל קבוצת ברירת המחדל DefaultWEBVPNGroup. Cisco מדגישה נקודה שקל לפספס. גם אם מכבים את רשימת הקבוצות במסך הכניסה, קבוצת ברירת המחדל נשארת חשופה אם מוגדר בה אימות משני.
ההיקף לא קטן. לפי BleepingComputer, הארגון Shadowserver עוקב אחרי מעל 51 אלף מכשירי Cisco ASA עם SSL VPN שחשופים לאינטרנט. הנתון לא מראה כמה מהם כבר עודכנו. לפי Cisco, שירותי הענן שלה ומערכת הניהול Secure FMC לא מושפעים.
למה השבתה של חומת אש היא בעיה אמיתית
מניעת שירות נשמעת פחות מפחידה מפריצה מלאה. בפועל, חומת אש שמאתחלת את עצמה שוב ושוב משביתה את העבודה מרחוק. בארגונים רבים ה-VPN הוא הדרך של עובדים, ספקים וסניפים להגיע למערכות. כל ניתוק כזה עוצר עבודה, ובמקרים מסוימים גם שירות ללקוחות.
יש גם הקשר רחב. באוגוסט Cisco תיקנה את CVE-2026-20349, חולשת DoS דומה באותו שירות VPN, שתוקפים ניצלו גם היא. לפי SecurityWeek, לא ברור אם אותו גורם עומד מאחורי שתי התקיפות. ב-2025 תוקפים ניצלו חולשות אחרות ב-ASA במסגרת מסע התקיפות ArcaneDoor. בעקבותיהן CISA, סוכנות הסייבר האמריקאית, הוציאה הוראת חירום.
מה זה אומר עבורכם
- עדכנו את ASA: הגרסאות המתוקנות הן 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 ו-9.23.1.48. בענף 9.24 התיקון מגיע ב-9.24.1.27 וב-9.24.10.1.
- עדכנו את FTD: הגרסאות המתוקנות הן 7.0.11, 7.2.13, 7.4.9, 7.6.7 ו-7.7.14. בענפים החדשים התיקון מגיע ב-10.0.3 וב-10.1.1.
- בדקו את ההגדרות: חפשו בתצורה את webvpn עם enable על ממשק. אחר כך בדקו בכל קבוצות המנהרה אם מופיע secondary-authentication-server-group.
- אם אי אפשר לעדכן מיד: Cisco מציעה צעד זמני של כיבוי רשימת הקבוצות או הסרת האימות המשני. היא מזהירה שהסרת האימות המשני מחלישה את אבטחת ה-VPN, ולכן זה פתרון לימים ספורים בלבד.
- מקבלים חומת אש מספק שירות? בקשו ממנו אישור בכתב שהגרסה עודכנה. בדקו גם ביומנים אם היו אתחולים לא מוסברים במהלך אוקטובר.
מה הלאה
Cisco ממליצה לבדוק כל גרסה בכלי Cisco Software Checker, שמציג את כל התיקונים הרלוונטיים במקום אחד. החברה לא פרסמה סימני זיהוי של התקיפה. לכן הדרך הבטוחה היא לעדכן ולא לחכות לפרטים נוספים.
מקורות והרחבה
- Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service VulnerabilityCisco
- Attackers Exploit Second Cisco Firewall VPN Zero-Day Since AugustSecurityWeek
- New Cisco firewall zero-day exploited to crash SSL VPN devicesBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
