Installieren Sie umgehend die von Cisco bereitgestellten Patches.
▸▾Herleitung der Bewertung(8)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-76418, CVE-2026-20127+25
- Hoechster CVSS-Basiswert 10.0+18
- EPSS 87.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
- Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
- Hinweis auf verfuegbaren Angriffscode: weaponized+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-76418, CVSS-Vektor AV:N/PR:N)+10
- Belegte Wirkungstaktik: exfiltration+8
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- 3 unabhaengige Herausgeber berichten den Sachverhalt
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls
Cisco hat eine kritische Sicherheitslücke (CVE-2026-76418) in seiner Secure Firewall ASA- und FTD-Software behoben, die bereits aktiv ausgenutzt wird. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, einen Denial-of-Service (DoS) durch unerwartetes Neuladen der Firewall zu verursachen. Betroffen sind Geräte mit SSL-Remote-Access-VPN-Dienst und konfigurierter sekundärer Authentifizierung. Cisco empfiehlt dringend, die bereitgestellten Patches zu installieren oder als temporäre Maßnahme die sekundäre Authentifizierung zu deaktivieren.
SecBoard-Einordnung
Die aktive Ausnutzung dieser Schwachstelle kann zu einem Denial-of-Service führen, der die Verfügbarkeit kritischer Netzwerkdienste beeinträchtigt und den Geschäftsbetrieb stört.
Realistisch schlimmster Fall: Ein nicht authentifizierter Angreifer könnte wiederholt Firewalls zum Absturz bringen, was zu anhaltenden Dienstunterbrechungen und einem vollständigen Verlust der Netzwerkverbindungen führen würde.
Empfehlung: Installieren Sie umgehend die von Cisco bereitgestellten Patches. Falls eine sofortige Patch-Installation nicht möglich ist, deaktivieren Sie als temporäre Maßnahme die sekundäre Authentifizierung auf betroffenen Tunnelgruppen.
Im erfassten Bestand
- ▸16. erfasste Meldung zu Volt Typhoon innerhalb von 90 Tagen.
- ▸CVE-2026-20127 kommt damit in 7 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 10.0 · CRITICAL
- EPSS
- 87.6%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-02-25
- Patch
- unbekannt
- CVSS
- 8.6 · HIGH
- EPSS
- 0.8%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Verfügbarkeit
- im KEV seit
- 2026-10-29
- Patch
- unbekannt
- Zuweisende CNA
- psirt@cisco.com
Betroffen
Organisationen, die Cisco Secure Firewall ASA- und FTD-Geräte mit aktiviertem SSL-Remote-Access-VPN-Dienst und konfigurierter sekundärer Authentifizierung verwenden.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (4)
- cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
- cpe:2.3:a:cisco:secure_firewall_threat_defense:10.1.0:*:*:*:*:*:*:*
- cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
- cpe:2.3:o:cisco:adaptive_security_appliance_software:9.24.10:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie, ob Cisco Secure Firewall ASA- oder FTD-Geräte in Ihrer Umgebung eingesetzt werden.
- ▸Stellen Sie fest, ob auf diesen Geräten der SSL-Remote-Access-VPN-Dienst aktiviert und die sekundäre Authentifizierung konfiguriert ist.
▸ 1 weitere▾ weniger
- ▸Verifizieren Sie, dass die neuesten Sicherheits-Patches von Cisco für die betroffenen Produkte angewendet wurden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus der aktiven Ausnutzung ist nicht spezifiziert.
- ▸Die spezifischen Versionen der betroffenen Software sind nicht im Artikel genannt.
- ▸Die Identität der Angreifer oder die Motivation hinter den Angriffen ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Cisco extern erreichbar?
- Haben wir VPN extern erreichbar?
- Können wir Exfiltration detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, einen Denial-of-Service (DoS) durch unerwartetes Neuladen der Firewall zu verursachen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- CERT-FRKontextVulnérabilité dans les produits Microsoft (26 octobre 2026)
- SecurityWeekKontextAttackers Exploit Second Cisco Firewall VPN Zero-Day Since August
- The Hacker NewsKontextCisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls
Der Vorgang wird seit 3 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Quelle nicht eingeordnet.
- Multiples vulnérabilités dans les produits IBM (30 octobre 2026)
- Multiples vulnérabilités dans les produits Apple (30 octobre 2026)
- Multiples vulnérabilités dans les produits MongoDB (30 octobre 2026)
- Vulnérabilité dans les produits Cisco (29 octobre 2026)
- Vulnérabilité dans les produits NetApp (29 octobre 2026)
- Multiples vulnérabilités dans Veeam Backup for Microsoft 365 (29 octobre 2026)
- Vulnérabilité dans les produits Kaspersky (29 octobre 2026)
- Multiples vulnérabilités dans les produits Juniper Networks (29 octobre 2026)
- Vulnérabilité dans les produits ESET (29 octobre 2026)
- Multiples vulnérabilités dans les produits Veeam (28 octobre 2026)
- Vulnérabilité dans les produits Belden (28 octobre 2026)
- Multiples vulnérabilités dans Microsoft Edge (28 octobre 2026)
- Multiples vulnérabilités dans les produits Mozilla (28 octobre 2026)
- Multiples vulnérabilités dans Microsoft Edge (27 octobre 2026)
- Multiples vulnérabilités dans les produits Nextcloud (27 octobre 2026)
- Multiples vulnérabilités dans les produits Moxa (27 octobre 2026)
- Vulnérabilité dans les produits Palo Alto Networks (27 octobre 2026)
- Vulnérabilité dans les produits Microsoft (26 octobre 2026)
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.