Cisco waarschuwt voor actief misbruikte zero-day in firewalls: VPN-verbindingen in gevaar

Cisco heeft beveiligingsupdates uitgebracht voor een ernstige kwetsbaarheid in zijn Secure Firewall ASA- en FTD-producten. Volgens het bedrijf wordt het lek inmiddels actief misbruikt door aanvallers. De kwetsbaarheid treft de Remote Access SSL VPN-functie en kan ertoe leiden dat een firewall onverwacht opnieuw opstart, waardoor VPN-verbindingen van gebruikers wegvallen. Voor organisaties die op afstand werken is dat geen klein probleem: een VPN is vaak de enige veilige weg naar bedrijfsnetwerken, interne systemen en gevoelige documenten.

Het lek is geregistreerd als CVE-2026-76418 en kreeg een CVSS-ernstscore van 8,6 op een schaal van 10. Dat plaatst het in de categorie hoog. Cisco maakte de details bekend op 30 oktober 2026 en riep beheerders op om de updates snel te installeren, juist omdat er in de praktijk al misbruik is vastgesteld. Wie de aanvallers zijn, heeft Cisco volgens de berichtgeving niet bekendgemaakt.

Wat is er precies aan de hand

De oorzaak zit volgens Cisco in fouten bij de afhandeling van secundaire authenticatie. Secundaire authenticatie is een extra controle naast het gewone wachtwoord, bijvoorbeeld een code uit een authenticator-app of een bevestiging via een tweede factor. Juist die extra laag blijkt in bepaalde configuraties een zwakke plek te bevatten.

Een aanvaller die niet is ingelogd, kan volgens Cisco misbruik maken van het lek door een gemanipuleerd verzoek te sturen naar een bereikbare SSL VPN-dienst. Lukt dat verzoek, dan dwingt het de firewall om opnieuw op te starten. Dat is een zogenoemde denial-of-service-aanval: de dienst valt tijdelijk uit, niet omdat gegevens worden gestolen, maar omdat het apparaat zelf niet meer beschikbaar is. Voor medewerkers die op dat moment via de VPN werken, betekent dit dat hun verbinding abrupt wordt verbroken en zij opnieuw moeten inloggen zodra de firewall weer draait.

Wie loopt risico

Niet elke Cisco-firewall is kwetsbaar. Het lek treft alleen specifieke configuraties. Apparaten zijn volgens Cisco kwetsbaar wanneer SSL VPN is ingeschakeld en secundaire authenticatie is geconfigureerd voor een getroffen tunnelgroep. Een tunnelgroep is in feite een profiel dat bepaalt hoe een groep VPN-gebruikers verbinding maakt en welke regels daarbij gelden.

Dat betekent dat beheerders eerst moeten vaststellen of hun configuratie aan beide voorwaarden voldoet. Draait er geen SSL VPN op het apparaat, dan is dit specifieke lek geen direct risico. Is SSL VPN wel actief, maar zonder secundaire authenticatie op de betreffende tunnelgroep, dan valt het apparaat volgens de beschrijving buiten de kwetsbare groep. Het loont echter om dit niet aan te nemen, maar om het daadwerkelijk te controleren in de configuratie en met de Software Checker van Cisco, een hulpmiddel waarmee beheerders kunnen nagaan of hun installatie is getroffen en welke bijgewerkte versie nodig is.

Cisco waarschuwt bovendien dat het uitschakelen van de tunnelgroeplijst het risico niet noodzakelijk wegneemt. De standaardtunnelgroep kan kwetsbaar blijven, ook als een beheerder denkt dat de lijst is uitgeschakeld. Alleen een controle van de werkelijke configuratie en het installeren van de patch geven zekerheid.

Welke updates zijn beschikbaar

Cisco heeft patches uitgebracht voor meerdere versies van ASA- en FTD-software. Voor ASA zijn de bijgewerkte versies 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 en 9.24.10.1. Voor FTD is de kwetsbaarheid verholpen in de versies 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 en 10.1.1. Beheerders moeten dus niet zomaar een willekeurige nieuwe versie installeren, maar de versie kiezen die hoort bij de softwarelijn die zij al draaien.

Cisco raadt aan om de updates onmiddellijk te installeren. Die oproep is logisch gezien het actieve misbruik. Elke dag dat een kwetsbaar systeem bereikbaar blijft vanaf het internet, is een dag waarop geautomatiseerde scans het kunnen vinden. Vooral firewalls met een VPN die direct vanaf het internet bereikbaar is, staan hoog op de lijst van systemen die aanvallers als eerste proberen.

Tijdelijke maatregel en de keerzijde

Voor organisaties die niet meteen kunnen patchen, noemt Cisco een tijdelijke maatregel: beheerders kunnen het risico beperken door secundaire authenticatie uit te schakelen op getroffen tunnelgroepen, waaronder de standaardtunnelgroep DefaultWEBVPNGroup. Volgens Cisco was deze maatregel succesvol tijdens tests.

Toch waarschuwt het bedrijf zelf dat deze stap gevolgen kan hebben voor de netwerkfunctionaliteit en de beveiliging. Secundaire authenticatie uitschakelen betekent immers dat een beveiligingslaag verdwijnt. Dat is een afweging die een organisatie bewust moet maken en niet lichtvaardig moet nemen. Als de tweede factor wegvalt, wordt een gestolen of geraden wachtwoord plotseling voldoende om binnen te komen. Organisaties moeten daarom de gevolgen evalueren voordat zij deze wijziging doorvoeren, bijvoorbeeld door te kijken welke gebruikersgroepen worden geraakt, of er aanvullende controles mogelijk zijn en hoe snel de echte patch alsnog kan worden geinstalleerd.

Er is volgens de berichtgeving geen volledige workaround beschikbaar gesteld. De tijdelijke maatregel is dus geen vervanging voor de update, maar een noodgreep voor wie even tijd moet winnen. Wie hem toepast, moet de patch alsnog inplannen en de tijdelijke wijziging daarna terugdraaien, zodat de tweede factor weer actief wordt.

Wat beheerders nu concreet moeten doen

De eerste stap is inventariseren: welke ASA- en FTD-apparaten draaien er, welke softwareversies gebruiken zij en is SSL VPN met secundaire authenticatie ingeschakeld. De tweede stap is controleren met de Software Checker van Cisco of de installatie is getroffen. De derde stap is het plannen van de update naar de juiste gepatchte versie, bij voorkeur in een onderhoudsvenster, met een terugvalplan als de update onverwacht problemen geeft.

Daarnaast is het verstandig om de logs van de firewall te controleren op onverwachte herstarts of ongebruikelijke VPN-verzoeken in de afgelopen periode. Omdat het lek actief wordt misbruikt, kan een apparaat al zijn geraakt voordat de patch is geinstalleerd. Herhaalde, onverklaarde herstarts verdienen nader onderzoek. Ook helpt het om te controleren of er meldingen zijn van gebruikers over wegvallende VPN-verbindingen die eerder als storing zijn afgedaan.

Frequently Asked Questions

Wat is CVE-2026-76418 precies

CVE-2026-76418 is een kwetsbaarheid in Cisco Secure Firewall ASA en FTD, met een CVSS-score van 8,6. Het lek zit in de afhandeling van secundaire authenticatie bij Remote Access SSL VPN en kan door een niet-ingelogde aanvaller worden gebruikt om de firewall opnieuw te laten opstarten, waardoor VPN-verbindingen wegvallen.

Hoe weet ik of mijn firewall kwetsbaar is

Uw apparaat is volgens Cisco kwetsbaar als SSL VPN is ingeschakeld en secundaire authenticatie is geconfigureerd voor een getroffen tunnelgroep. Controleer uw configuratie en gebruik de Software Checker van Cisco om vast te stellen of uw installatie is getroffen en welke bijgewerkte versie u nodig heeft.

Wat moet ik doen als ik niet meteen kan patchen

Cisco noemt als tijdelijke maatregel het uitschakelen van secundaire authenticatie op getroffen tunnelgroepen, waaronder DefaultWEBVPNGroup. Weeg de gevolgen goed af, want daarmee verdwijnt een beveiligingslaag, en plan de echte update alsnog zo snel mogelijk in.