Cisco ASA ve FTD'de CVE-2026-76418 (CVSS 8.6) SSL VPN açığı CISA KEV listesinde. Hangi cihazlar etkilenir, nasıl kontrol edilir, ne yapılmalı?
Kurumsal ağların kapısında duran güvenlik duvarları, uzaktan bağlanan kullanıcıların sanal özel ağ (VPN) bağlantısını da karşılar. Bu kapı durursa çalışanlar içeri giremez. Cisco’nun ASA ve FTD güvenlik duvarlarını etkileyen yeni bir açık tam da bu noktada duruyor.
Kısa cevap: CVE-2026-76418, Cisco Secure Firewall ASA ve Cisco Secure FTD yazılımlarında bir hizmet reddi (DoS) açığı. Uzaktan erişim SSL VPN kullanan ve bir tünel grubunda ikincil kimlik doğrulama tanımlı cihazlar etkileniyor. Saldırgan kimlik doğrulaması olmadan cihazın beklenmedik şekilde yeniden başlamasına neden olabiliyor, ama kod çalıştırmıyor. CVSS puanı 8.6 (yüksek) ve Cisco, açığın aktif olarak istismar edildiğini belirtiyor. Yapılacak iş, Cisco’nun düzeltilmiş sürümüne geçmek; geçemiyorsan bültendeki geçici önlemi uygulamak.
Ne oldu?
Açık, cihazdaki VPN tünel gruplarından birinde ikincil kimlik doğrulama (secondary authentication) ayarı tanımlıyken ortaya çıkıyor. Cisco bunu mantık hatası olarak tarif ediyor. Saldırgan VPN bağlantısı sırasında hazırlanmış bir istek gönderiyor ve cihaz kendini yeniden başlatıyor.
Zayıflık türü CWE-690: “Unchecked Return Value to NULL Pointer Dereference”. Sade dille, bir işlem boş (NULL) bir sonuç döndürebiliyor, kod bu sonucu kontrol etmeden kullanıyor ve program çöküyor. Bu açıkta çöküşün sonucu cihazın yeniden başlaması.
Açık 28 Ekim 2026’da yayımlandı. Bir gün sonra, 29 Ekim 2026’da, CISA bu açığı aktif istismar edilen açıklar listesine (KEV, Known Exploited Vulnerabilities) ekledi. Cisco da Ekim 2026’da bu açığın aktif istismarından haberdar olduklarını bildirdi. Açık yeni olduğu için “eski açık” notu gerekmiyor. Fidye yazılımı kampanyalarında kullanılıp kullanılmadığı KEV kaydında “Unknown” olarak geçiyor, yani bilinmiyor.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| CVE kimliği | CVE-2026-76418 |
| Ürünler | Cisco Secure Firewall ASA ve Cisco Secure FTD yazılımı |
| Etkilenen yapılandırma | Bir arayüzde SSL VPN açık ve en az bir tünel grubunda (varsayılan DefaultWEBVPNGroup dahil) secondary-authentication-server-group tanımlı |
| CVSS | 8.6 (CVSS 3.1, vektör: AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H) |
| Önem derecesi | Yüksek (High) |
| Zayıflık türü | CWE-690 |
| Yayın tarihi (NVD) | 28 Ekim 2026 |
| CISA KEV’e eklenme | 29 Ekim 2026 |
| CISA son tarihi | 1 Kasım 2026 (bugün itibarıyla geçti) |
| İlk düzeltilen ASA sürümleri | 9.16 ve öncesi: 9.16.4.104; 9.18: 9.18.4.96; 9.20: 9.20.4.50; 9.22: 9.22.3.200; 9.23: 9.23.1.48; 9.24: 9.24.1.27 ve 9.24.10.1 |
| İlk düzeltilen FTD sürümleri | 7.0 ve öncesi: 7.0.11; 7.2: 7.2.13; 7.4: 7.4.9; 7.6: 7.6.7; 7.7: 7.7.14; 10.0: 10.0.3; 10.1: 10.1.1 |
Bültenin özetinde her dal için yalnızca ilk düzeltilen sürüm veriliyor. Etkilenen sürüm aralığının tamamını ve kesin listeyi Cisco bülteninden kontrol et.
Cisco, Cloud-delivered Firewall (CDFW), cdFMC, Secure Access ve Secure FMC Software ürünlerinin bu açıktan etkilenmediğini belirtiyor.
Ne yapmalısın?
- VPN’in açık olup olmadığına bak. ASA’da
show running-config webvpnçıktısındawebvpnbölümü ve bir arayüzdeenablesatırı var mı, kontrol et. FTD’de uzaktan erişim VPN politikasını FMC ya da FDM üzerinden incele. - Tünel gruplarını tara. ASA’da
show running-config tunnel-groupçıktısındasecondary-authentication-server-groupsatırı var mı bak. Varsayılan DefaultWEBVPNGroup’u da kontrol et. - Sürümünü öğren. ASA’da
show versionkomutu sürümü gösterir. Çıkan sürümü yukarıdaki tabloyla karşılaştır. - Düzeltilmiş sürüme güncelle. Bakım penceresi planla, güncellemeden önce yapılandırmanı yedekle.
- Güncelleyemiyorsan geçici önlemi uygula. Bülten iki durum tarif ediyor. DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa WebVPN yapılandırma modunda
no tunnel-group-list enablekomutunu çalıştır. Kullanıyorsano secondary-authentication-server-groupkomutuyla ikincil kimlik doğrulamayı kaldır, ama bu VPN güvenliğini düşürür. Cisco bu önlemlerin geçici olduğunu ve yükseltmenin yerine geçmediğini söylüyor. Bülten ayrıca bu açık için workaround olmadığını belirtiyor. - Şüphe varsa destek al. Cihazın beklenmedik yeniden başladığını görüyorsan Cisco TAC’a destek talebi aç ve bülteni takip et.
Sık sorulan sorular
Beni etkiliyor mu?
Cisco ASA ya da FTD yazılımı çalıştırıyorsan ve uzaktan erişim SSL VPN’de ikincil kimlik doğrulama tanımlıysa etkilenirsin. Yukarıdaki iki kontrol adımı bunu netleştirir. Cloud-delivered Firewall, cdFMC, Secure Access ve Secure FMC bu açıktan etkilenmiyor.
CVSS 8.6 yüksek ama kod çalıştırılmıyor, yine de acil mi?
Evet. Saldırı için kimlik doğrulama gerekmiyor ve etkisi kullanılabilirlik tarafında yüksek. Kod çalıştırma olmaması, cihazın VPN kapısını bir saldırgana kapatabilmesi gerçeğini değiştirmez. Açığın KEV listesinde olması da öncelik nedeni.
Hemen güncelleyemezsem ne yapmalıyım?
Bültendeki geçici önlemi uygula, ama bunun yükseltmenin yerine geçmediğini unutma. İkincil kimlik doğrulamayı kaldırmak VPN güvenliğini düşürür, bu yüzden değişikliği yaptıktan sonra güncelleme için kısa bir tarih belirle.
Kaynaklar
- NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-76418
- CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Cisco güvenlik bülteni (cisco-sa-asaftd-tunnel-dos-s6mgkb75): https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu ve uygulama güncellemesi ya da güvenlik bakımı için teklif formu üzerinden yazabilirsin.