SecBoard
Zurück zur CVE-Übersicht

CVE-2026-76418

HIGH(8.6)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

Risk Signal Score52/100 — HOCH
  • CVSS 8.6 — Hoch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.6

Technische Schwere

SecBoard-Einordnung

CVE-2026-76418 betrifft den Remote Access SSL VPN Dienst von Cisco Secure Firewall ASA und FTD Software. Die Schwachstelle ist auf Logikfehler bei der Konfiguration einer sekundären Authentifizierung in einer Tunnelgruppe zurückzuführen. Ein nicht authentifizierter, entfernter Angreifer kann durch das Senden einer manipulierten Anfrage einen unerwarteten Neustart des Geräts erzwingen, was zu einem Denial-of-Service (DoS) führt. Die Schwachstelle wird mit einem CVSS-Score von 8.6 (HIGH) bewertet und ist im KEV-Katalog gelistet, was auf eine aktive Ausnutzung hinweist. Die Exploit-Wahrscheinlichkeit () liegt bei 1%, was jedoch durch die aktive Ausnutzung überlagert wird. Security-Teams sollten diese Schwachstelle umgehend priorisieren, da sie aktiv ausgenutzt wird und zu einem Ausfall kritischer VPN-Dienste führen kann. Es wird dringend empfohlen, verfügbare Patches oder Mitigationen sofort anzuwenden und die betroffenen Systeme auf ungewöhnliche Aktivitäten zu überwachen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in the Remote Access SSL VPN service of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition. This vulnerability is due to logic errors when secondary authentication is configured on a tunnel group. An attacker could exploit this vulnerability by sending a crafted request when connecting to the SSL remote access VPN. A successful exploit could allow the attacker to cause the affected device to reload, resulting in a DoS condition.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

This query aims to detect unexpected reloads of Cisco ASA/FTD devices, which could indicate a denial-of-service condition related to CVE-2026-76418. It focuses on system events indicating reboots or crashes. Specific logs for 'logic errors' or 'crafted requests' are not provided in the source, so this is a post-impact detection.

Sentinel/Defender KQL

CiscoASA
| where Message has_any ("Reloading", "System restarting", "Device rebooted unexpectedly")
| summarize count() by DeviceName, bin(TimeGenerated, 1h)
| where count_ > 0

Splunk SPL

sourcetype=cisco:asa (reloading OR "system restarting" OR "device rebooted unexpectedly") | stats count by host, _time | where count > 0

Sigma

title: Cisco ASA/FTD Unexpected Reload
status: experimental
description: Detects unexpected reloads or restarts of Cisco ASA/FTD devices, potentially indicating a denial-of-service condition.
logsource:
  product: cisco
  service: asa
detection:
  selection:
    message|contains:
      - 'Reloading'
      - 'System restarting'
      - 'Device rebooted unexpectedly'
  condition: selection
level: high

Elastic ES|QL

FROM cisco_asa
WHERE message : ("Reloading", "System restarting", "Device rebooted unexpectedly")
GROUP BY host, @timestamp
HAVING count() > 0

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:*:*:*:*:*:*:*:*
  • cpe:2.3:o:cisco:adaptive_security_appliance_software:9.24.10:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:secure_firewall_threat_defense:10.1.0:*:*:*:*:*:*:*

In diesen Analysen erwähnt

Wochenlage KW44: Ivanti, PHP und Palo Alto im Fokus der AngreiferSecBoard

Referenzen