Cisco, Secure Firewall Adaptive Security Appliance (ASA) Yazılımı ve Secure Firewall Threat Defense (FTD) Yazılımı’ndaki yüksek önem dereceli güvenlik açığını gidermek için yamalar yayınladı; şirket açığın gerçek dünyada istismar edildiğini belirtti.
Açık CVE-2026-76418 olarak izleniyor ve CVSS puanlama sisteminde 8.6 olarak derecelendirildi. Başarılı istismar, kimliği doğrulanmamış uzaktan bir saldırganın cihazın beklenmedik şekilde yeniden yüklenmesine neden olmasını sağlayabilir ve bu durum hizmet reddi (DoS) koşuluna yol açar.
Cisco’ya göre sorun, ASA ve FTD yazılımlarının Uzaktan Erişim SSL VPN hizmetinde kaynaklanıyor.
Şirket çarşamba günü yayımladığı danışmada “Bu açık, bir tünel grubunda ikincil kimlik doğrulama yapılandırıldığında ortaya çıkan mantık hatalarından kaynaklanıyor” dedi. “Bir saldırgan SSL uzaktan erişim VPN’e bağlanırken hazırlanmış bir istek göndererek bu açığı istismar edebilir. Başarılı bir istismar, saldırganın etkilenen cihazın yeniden yüklenmesine neden olmasına ve DoS koşuluna yol açmasına olanak tanır.”
Ağ ekipmanı devi, bu açığın aktif olarak istismar edildiğini ekim 2026’da fark ettiğini söyledi ancak saldırların ne zaman başladığına, kimlerin arkasında olduğuna ve çabaların ölçeğine dair ayrıntı paylaşmadı.
Açık için düzeltmeler aşağıdaki sürümlerde mevcuttur.
Cisco Secure Firewall ASA Yazılım Sürümü
9.16 ve öncesi - 9.16.4.104’te düzeltildi
9.18 - 9.18.4.96’da düzeltildi
9.20 - 9.20.4.50’de düzeltildi
9.22 - 9.22.3.200’de düzeltildi
9.23 - 9.23.1.48’de düzeltildi
9.24 - 9.24.1.27 ve 9.24.10.1’de düzeltildi
Cisco Secure FTD Yazılım Sürümü
7.0 ve öncesi - 7.0.11’de düzeltildi
7.2 - 7.2.13’te düzeltildi
7.4 - 7.4.9’da düzeltildi
7.6 - 7.6.7’de düzeltildi
7.7 - 7.7.14’te düzeltildi
10.0 - 10.0.3’te düzeltildi
10.1 - 10.1.1’de düzeltildi
Cisco ayrıca açığın Cisco cihazlarını aşağıdaki koşullar karşılandığında etkilediğini belirtti.
Cisco Secure Firewall ASA Yazılımı veya Cisco Secure FTD Yazılımı’nın savunmasız bir sürümünü çalıştırıyor olmaları.
SSL uzaktan erişim VPN giriş hizmetinin erişilebilir olması.
İkincil kimlik doğrulamanın tünel grubu kapsamında yapılandırılmış olması.
“tunnel-group-list enable yapılandırılmışsa, DefaultWEBVPNGroup dahil tüm tünel gruplarını secondary-authentication-server-group açısından kontrol edin” dedi Cisco.
“tunnel-group-list enable yoksa veya no tunnel-group-list enable komutuyla kaldırılmışsa, varsayılan tünel grubu DefaultWEBVPNGroup’u secondary-authentication-server-group açısından kontrol edin; çünkü grup listesini devre dışı bırakmak, varsayılan grup ikincil kimlik doğrulama kullanıyorsa maruziyeti ortadan kaldırmaz.”
Geçici bir hafifletme olarak şirket, müşterilere DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa tünel grubu listesini kapatmalarını ya da ikincil kimlik doğrulamayı kullanıcı tarafından yapılandırılmış herhangi bir tünel grubu listesinde veya varsayılan tünel grubu DefaultWEBVPNGroup’ta devre dışı bırakmalarını öneriyor.
“Cisco Secure FTD Yazılımı’nda, dağıtılan uzaktan erişim VPN politikasını ve Cisco Secure FMC Yazılımı veya Cisco Secure FDM’de oluşan cihaz çalışma yapılandırmasını gözden geçirin” dedi Cisco. “Etkilenen işleme yoluna ulaşmak için başarılı bir VPN girişi gerekmez.”
Açıklama, Cisco’nun UAT-11473 olarak izlenen gelişmiş sürekli tehdit aktörünün Cisco SD-WAN Catalyst Denetleyici örneklerindeki kimlik doğrulama atlama açığı CVE-2026-20127’yi istismar ederek kimlik doğrulamayı atlayıp etkilenen sistemlere yetkisiz erişim sağladığını açıklamasıyla geldi.
Uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırması sektörlerini hedefleyen faaliyetin, Volt Typhoon’un Silent Train gizli ağıyla altyapı örtüşmeleri taşıdığı değerlendirildi.
“UAT-11473 daha sonra ‘KeyDrift’ olarak takip ettiğimiz özel bir kötü amaçlı yazılım çerçevesi kurdu; bu çerçeve hassas anahtar bilgilerini toplamak, arka kapı görevi görmek ve ara komuta ve kontrol (C2) ana bilgisayarları olarak çalışmak üzere tasarlanmış birden fazla bileşenden oluşuyor” dedi Cisco Talos.
“Çerçeve, uzun süreli kalıcı erişim ve hassas anahtar materyalinin otomatik olarak dışarı aktarılmasını sağlamak üzere tasarlandı. KeyDrift, SD-WAN kontrol düzlemi süreçlerinin içinde çalışıyor ve şifrelenmiş kontrol trafiğini engelleme, kontrol oturumu meta verilerini ve veri düzlemi anahtar materyalini çıkarma ve toplanan materyali şifrelenmiş kayıtlar kullanarak hazırlama veya iletme yeteneğine sahip.”
