O que aconteceu

Em 28 de outubro de 2026 a Cisco publicou o aviso cisco-sa-asaftd-tunnel-dos-s6mgkb75 sobre a vulnerabilidade CVE-2026-76418 no acesso remoto SSL VPN dos firewalls Cisco Secure Firewall ASA e Secure FTD. Um atacante sem credenciais pode enviar uma requisição manipulada ao tentar se conectar à VPN e fazer o equipamento reiniciar, deixando a VPN (e às vezes todo o acesso à internet do escritório) fora do ar. A Cisco classificou o problema como alto (CVSS 3.1 de 8,6) e seu PSIRT informou que tomou conhecimento de exploração ativa durante outubro de 2026. O BleepingComputer também cita dados da Shadowserver com mais de 51.000 firewalls ASA com SSL VPN expostos à internet.

Vale ser preciso: segundo o aviso, o impacto é de disponibilidade (negação de serviço). Não há descrição de execução de código nem de roubo de dados, e a Cisco não publicou indicadores de comprometimento.

Quem é afetado e por que importa para uma pequena ou média empresa

Equipamentos ASA e FTD são afetados quando todas estas condições ocorrem: webvpn habilitado em ao menos uma interface, secondary-authentication-server-group configurado em algum tunnel-group (inclusive DefaultWEBVPNGroup, mesmo que o perfil não apareça na tela de login) e o serviço de login da VPN acessível. A Cisco confirma que Cloud-delivered Firewall, cdFMC, Secure Access e Secure FMC não são afetados.

Para uma pequena empresa, a VPN de acesso remoto costuma ser o único caminho para o home office, filiais ou acesso ao ERP e aos servidores de arquivos. Se o firewall reinicia repetidamente, o negócio perde o acesso remoto justamente quando mais precisa. E como o ataque não exige usuário nem senha, ter a VPN publicada na internet já é exposição suficiente.

O que fazer agora

  1. Descobrir se você tem esses equipamentos. Revise o inventário de firewalls Cisco ASA ou Firepower/Secure Firewall (FTD), inclusive os instalados por um fornecedor anterior e que ninguém mais acompanha.
  2. Verificar a exposição. No ASA, confira na configuração em execução se existe webvpn com SSL VPN em uma interface e se algum tunnel-group tem secondary-authentication-server-group. Para saber se sua versão é afetada, use o Cisco Software Checker indicado no aviso.
  3. Atualizar para uma versão corrigida. Segundo o aviso, as primeiras versões corrigidas incluem, por exemplo, ASA 9.18.4.96, 9.20.4.50 e 9.22.3.200, e FTD 7.2.13, 7.4.9 e 7.6.7 (a tabela completa, com as demais ramificações, está no aviso). A Cisco recomenda atualizar acima de qualquer outra medida.
  4. Se não der para atualizar hoje, aplicar a mitigação documentada. Se o DefaultWEBVPNGroup não usa autenticação secundária, a Cisco indica executar no tunnel-group-list enable; os usuários passarão a precisar do nome exato do perfil de conexão. Se usa, a alternativa é no secondary-authentication-server-group, mas isso reduz a segurança da VPN e é último recurso. A Cisco esclarece que não há workaround completo.
  5. Planejar a janela de mudança. Atualizar um firewall implica uma parada; agende fora do horário comercial, com backup da configuração e plano de retorno.
  6. Monitorar. Fique atento a reinicializações inesperadas do firewall e a picos de tentativas de conexão à VPN nos logs.

Como atuamos na EDESSI

Quando surge uma vulnerabilidade crítica ou com exploração ativa, nosso procedimento geral é sempre o mesmo: primeiro levantar quais sistemas e versões cada cliente possui para saber se realmente é afetado; depois priorizar pela exposição à internet e pela criticidade do serviço; aplicar a correção em uma janela controlada, com backup da configuração e plano de reversão; e, por fim, verificar se a mudança foi aplicada e documentá-la. Em um caso como este, o primeiro passo concreto é verificar se o equipamento publica uma SSL VPN com autenticação secundária, pois isso define a urgência real.

Como podemos ajudar

Se você não sabe qual firewall tem, se sua VPN está publicada ou se seus equipamentos estão atualizados, podemos revisar seu perímetro e montar um plano de correções. Conheça nossos serviços de infraestrutura de TI e de cibersegurança, ou fale conosco.

Fontes