Cisco ASA und FTD: aktiv ausgenutzte Schwachstelle ermöglicht Neustart von Firewalls (CVE-2026-76418)

Was passiert ist

Cisco hat am 28. Oktober 2026 eine Schwachstelle in der Software Cisco Secure Firewall Adaptive Security Appliance (ASA) und in der Software Cisco Secure Firewall Threat Defense (FTD) offengelegt. Sie wird als CVE-2026-76418 geführt und hat einen CVSS-Basiswert von 8,6.

Die Ursache ist ein nicht geprüfter Rückgabewert, der zu einer NULL-Pointer-Dereferenzierung führt. Ein nicht authentifizierter Angreifer aus der Ferne kann dies ausnutzen, um einen unerwarteten Neustart des Geräts auszulösen. Dadurch entsteht ein Denial-of-Service-Zustand (DoS).

Am 29. Oktober 2026 hat CISA die Schwachstelle in seinen Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Das bedeutet, dass bereits Angriffe stattfinden.

Wer betroffen ist

Sie sind betroffen, wenn Sie die Software Cisco Secure Firewall ASA oder die Software Cisco Secure FTD einsetzen. Dazu gehören Firewalls, die Hosting-Umgebungen, Serverracks, Büronetze oder Kundeninfrastruktur schützen. Die Quelldaten nennen keine betroffenen und behobenen Versionen. Prüfen Sie das unten verlinkte Cisco-Advisory, um festzustellen, welche Releases verwundbar sind und welche die Korrektur enthalten.

Während eine Firewall neu startet, wird der Datenverkehr über sie unterbrochen. Websites, Mailserver und VPN-Zugänge hinter dem Gerät sind dann nicht erreichbar. Wiederholte Angriffe können das Gerät über längere Zeit außer Betrieb halten.

Was Sie jetzt tun sollten

1. Erfassen Sie alle Cisco-ASA- und FTD-Geräte, die Sie oder Ihre Kunden betreiben. Notieren Sie die Softwareversion jedes Geräts.
2. Öffnen Sie das unten verlinkte Cisco-Sicherheitsadvisory. Prüfen Sie damit, ob Ihre Versionen betroffen sind und welches korrigierte Release für Ihren Zweig gilt.
3. Sichern Sie die laufende Konfiguration jedes Geräts, bevor Sie etwas ändern.
4. Aktualisieren Sie auf das korrigierte Release, das Cisco für Ihre Version nennt. Bei FTD erfolgt dies wie gewohnt über Ihr Management Center oder den Device Manager.
5. Prüfen Sie nach dem Update Folgendes:
   • Das Gerät läuft mit der neuen Version.
   • Schnittstellen, VPN-Tunnel und Failover funktionieren.
   • Die Dienste hinter der Firewall sind erreichbar.
6. Wenn Sie nicht sofort aktualisieren können, wenden Sie die Maßnahmen oder Workarounds an, die im Cisco-Advisory beschrieben sind. Begrenzen Sie außerdem nach Möglichkeit die Erreichbarkeit der betroffenen Dienste aus dem Internet.
7. Planen Sie das Update für HA-Paare und Cluster so, dass eine Einheit weiter Datenverkehr weiterleitet, während die andere aktualisiert wird.

So prüfen Sie, ob Sie betroffen sind

• Vergleichen Sie die Version, die show version anzeigt, mit den betroffenen Releases im Cisco-Advisory.
• Suchen Sie nach unerwarteten Neustarts seit dem 28. Oktober 2026. Sie können dies an drei Stellen prüfen:
  • die Uptime und der Grund des letzten Neustarts in show version
  • Absturzinformationen auf dem Gerät
  • Ihre Syslog- oder Monitoring-Historie für Ausfälle der Firewall oder der dahinterliegenden Dienste
• Wenn Sie ungeklärte Neustarts finden, sichern Sie die Absturzinformationen und Logs. Kontaktieren Sie das Cisco TAC, um zu klären, ob sie mit dieser Schwachstelle zusammenhängen.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-76418
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog