Firewall Cisco ASA e FTD: zero-day sfruttato per spegnere la VPN

Il 28 ottobre 2026 Cisco ha pubblicato l'avviso sulla vulnerabilità CVE-2026-76418 dei firewall Secure Firewall ASA e Secure Firewall Threat Defense (FTD): un attaccante non autenticato può far riavviare l'apparato collegandosi alla VPN SSL, causando un'interruzione del servizio. Cisco ha confermato di aver rilevato attacchi nel mese di ottobre, come ha riportato BleepingComputer, e il giorno dopo la CISA l'ha aggiunta al catalogo delle vulnerabilità sfruttate.

Cosa succede con questa falla?

Non è un'intrusione: l'attaccante non entra nella rete e non ruba dati. Manda una richiesta costruita apposta mentre si collega alla VPN e il firewall si riavvia. Ripetendo l'operazione, può tenere giù l'apparato a lungo.

Per un'azienda il risultato è comunque pesante. Il firewall è la porta d'ingresso della rete: quando si riavvia, per qualche minuto salta tutto, e soprattutto salta la VPN con cui chi lavora da casa, i tecnici esterni o le sedi distaccate accedono al gestionale e alle cartelle condivise. Cisco valuta la gravità 8,6 su 10.

Chi è esposto?

Secondo l'avviso, un apparato è vulnerabile solo se valgono tre condizioni insieme:

• la configurazione contiene webvpn con la VPN SSL attiva su almeno un'interfaccia;
• la pagina di accesso alla VPN è raggiungibile;
• su un gruppo di tunnel, compreso quello predefinito DefaultWEBVPNGroup, è configurata un'autenticazione secondaria (secondary-authentication-server-group).

L'autenticazione secondaria è il secondo controllo dopo la password, quello che si aggiunge proprio per proteggere meglio la VPN: il paradosso è che qui è la condizione che rende l'apparato attaccabile. Cisco precisa che disattivare l'elenco dei gruppi non basta, se il gruppo predefinito usa l'autenticazione secondaria. Non sono coinvolti invece i firewall gestiti in cloud e alcuni prodotti di gestione, elencati nell'avviso.

BleepingComputer riporta che la Shadowserver Foundation conta oltre 51.000 VPN SSL di Cisco ASA esposte su internet. Non tutte hanno la configurazione vulnerabile, ma il bacino è ampio.

Esiste un rimedio temporaneo?

Cisco dice chiaramente che non esistono soluzioni alternative vere. Indica però una mitigazione: disattivare l'autenticazione secondaria sui gruppi di tunnel interessati. Avverte anche che così la VPN diventa meno sicura, quindi va considerata una misura di emergenza in attesa dell'aggiornamento, non una soluzione.

Le versioni corrette sono elencate nell'avviso per ogni ramo: per ASA, fra le altre, 9.18.4.96, 9.20.4.50, 9.22.3.200 e 9.24.1.27; per FTD, fra le altre, 7.2.13, 7.4.9, 7.6.7 e 10.0.3. Cisco non ha detto chi siano gli attaccanti né quante aziende siano state colpite.

Cosa cambia per una PMI?

Capita che un firewall venga installato da un fornitore e poi resti intoccato per anni. In quel caso il rischio non è tanto questa falla, ma il fatto che nessuno controlli gli avvisi. La VPN è diventata un servizio essenziale: se si ferma, si fermano le persone che lavorano da fuori.

Cosa fare adesso?

1. Chiedi a chi gestisce il firewall se è un Cisco ASA o FTD con VPN SSL e autenticazione secondaria.
2. Aggiorna alla versione corretta del tuo ramo indicata da Cisco.
3. Se non puoi aggiornare subito, valuta con il fornitore la mitigazione temporanea, sapendo che riduce la protezione della VPN.
4. Tieni d'occhio i riavvii anomali del firewall nei registri: possono essere il segno di un attacco.
5. Prepara un piano B per l'accesso remoto, così un'interruzione non blocca il lavoro.

Ottobre è stato un mese pesante per gli apparati di accesso remoto: sono stati attaccati anche Ivanti Connect Secure e SonicWall SMA1000.

Ne parliamo?

Se il tuo personale lavora da remoto sul gestionale, il modo in cui ci accede è parte del progetto quanto il software stesso. Quando realizzo un gestionale su misura o una web app valuto con il cliente come renderla raggiungibile in modo sicuro, a volte senza bisogno di una VPN. Per un parere sulla tua situazione parti da una consulenza tecnica e scrivimi dalla pagina contatti.

Fonti

• Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability (Cisco)
• New Cisco firewall zero-day exploited to crash SSL VPN devices (BleepingComputer)
• CISA Adds Two Known Exploited Vulnerabilities to Catalog (CISA, 29 ottobre 2026)

Crediti delle immagini

• Copertina: foto di Brett Sayles su Pexels