Ursache ist laut Cisco der Dienst für den Remote-Access-SSL-VPN-Zugang. “Diese Schwachstelle beruht auf Logikfehlern, wenn für eine Tunnelgruppe eine sekundäre Authentifizierung konfiguriert ist”, heißt es in einem am Mittwoch veröffentlichten Sicherheitshinweis. “Ein Angreifer könnte die Schwachstelle ausnutzen, indem er beim Verbindungsaufbau zum SSL-Remote-Access-VPN eine präparierte Anfrage sendet. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, einen Neustart des betroffenen Geräts und damit einen DoS-Zustand zu verursachen.”
Cisco erklärte, im Oktober 2026 von der aktiven Ausnutzung erfahren zu haben, nannte aber keine Einzelheiten dazu, wann die Angriffe begannen, wer dahintersteht und welchen Umfang sie haben.
Korrigierte Fassungen für Cisco Secure Firewall ASA Software:
- Release 9.16 und früher – behoben in 9.16.4.104
- 9.18 – behoben in 9.18.4.96
- 9.20 – behoben in 9.20.4.50
- 9.22 – behoben in 9.22.3.200
- 9.23 – behoben in 9.23.1.48
- 9.24 – behoben in 9.24.1.27 und 9.24.10.1
Für Cisco Secure FTD Software:
- Release 7.0 und früher – behoben in 7.0.11
- 7.2 – behoben in 7.2.13
- 7.4 – behoben in 7.4.9
- 7.6 – behoben in 7.6.7
- 7.7 – behoben in 7.7.14
- 10.0 – behoben in 10.0.3
- 10.1 – behoben in 10.1.1
Verwundbar sind Geräte nur, wenn alle drei Bedingungen zutreffen: Sie betreiben eine anfällige Version von ASA- oder FTD-Software, der Login-Dienst des SSL-Remote-Access-VPN ist erreichbar, und im Geltungsbereich der Tunnelgruppe ist eine sekundäre Authentifizierung konfiguriert.
“Wenn tunnel-group-list enable konfiguriert ist, prüfen Sie alle Tunnelgruppen einschließlich der Standardtunnelgruppe DefaultWEBVPNGroup auf secondary-authentication-server-group”, so Cisco. “Wenn tunnel-group-list enable fehlt oder mit dem Befehl no tunnel-group-list enable entfernt wurde, prüfen Sie die Standardtunnelgruppe DefaultWEBVPNGroup auf secondary-authentication-server-group, denn das Deaktivieren der Gruppenliste beseitigt die Angriffsfläche nicht, wenn diese Standardgruppe eine sekundäre Authentifizierung verwendet.”
Als vorübergehende Gegenmaßnahme empfiehlt das Unternehmen, die Tunnelgruppenliste abzuschalten, sofern DefaultWEBVPNGroup keine sekundäre Authentifizierung nutzt, oder die sekundäre Authentifizierung in jeder benutzerdefinierten Tunnelgruppenliste beziehungsweise in der Standardtunnelgruppe DefaultWEBVPNGroup zu deaktivieren. “Prüfen Sie unter Cisco Secure FTD Software die ausgerollte Remote-Access-VPN-Richtlinie und die resultierende laufende Gerätekonfiguration in Cisco Secure FMC Software oder Cisco Secure FDM”, so der Hersteller. Ein erfolgreiches VPN-Login sei nicht erforderlich, um den betroffenen Verarbeitungspfad zu erreichen.
Parallel dazu hat Cisco bekanntgegeben, dass ein hochentwickelter APT-Akteur, der unter der Bezeichnung UAT-11473 geführt wird, die Authentifizierungs-Umgehungslücke CVE-2026-20127 in Instanzen des Cisco SD-WAN Catalyst Controllers ausgenutzt hat, um die Authentifizierung zu umgehen und unbefugten Zugang zu betroffenen Systemen zu erlangen. Die Aktivitäten richteten sich gegen die Bereiche Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnik sowie Politikforschung; nach Einschätzung von Cisco gibt es Überschneidungen bei der Infrastruktur mit dem verdeckten Netzwerk “Silent Train” von Volt Typhoon.
“UAT-11473 installierte anschließend ein maßgeschneidertes Schadsoftware-Framework, das wir als ‘KeyDrift’ führen und das aus mehreren Komponenten [wie PolyFlame und LittleFilch] besteht, die auf das Sammeln sensibler Schlüsselinformationen ausgerichtet sind und als Hintertüren sowie als zwischengeschaltete Command-and-Control-Hosts dienen”, erklärte Cisco Talos. Das Framework sei auf dauerhaften Zugang und automatisierte Exfiltration sensiblen Schlüsselmaterials ausgelegt. KeyDrift arbeite innerhalb der Control-Plane-Prozesse von SD-WAN und könne entschlüsselten Steuerungsverkehr abfangen, Metadaten von Steuerungssitzungen sowie Schlüsselmaterial der Data Plane extrahieren und das gesammelte Material in verschlüsselten Datensätzen zwischenspeichern oder übertragen.