Cisco memperingatkan bahwa celah CVE-2026-76418 di layanan Remote Access SSL VPN pada Cisco Secure Firewall ASA dan Secure Firewall Threat Defense (FTD) sudah dieksploitasi di dunia nyata. Penyerang tanpa login cukup mengirim permintaan yang dirancang khusus ke layanan VPN, lalu firewall restart dan koneksi VPN terputus. Celah ini mendapat skor CVSS 8,6. Menurut Techzine, Cisco belum mengungkap siapa yang berada di balik serangan.
Apa yang terjadi dan siapa yang terdampak
Akar masalahnya adalah kesalahan logika saat firewall menangani autentikasi sekunder pada tunnel group. Perangkat rentan bila konfigurasi berjalannya memuat kata kunci webvpn dan SSL VPN aktif di sedikitnya satu antarmuka, sesuai laporan CSO Online. Dampaknya berupa denial of service: firewall reload berulang, sehingga karyawan yang bekerja jarak jauh kehilangan akses ke jaringan kantor.
Perlu dicatat, celah ini tidak memberi penyerang akses ke data atau kendali atas perangkat. Yang dilaporkan sejauh ini hanyalah gangguan layanan. Meski begitu, firewall yang mati di tengah jam kerja sudah cukup merugikan, apalagi bagi organisasi yang mengandalkan VPN untuk seluruh akses internal. Cisco juga pernah menjadi sasaran serangan lain bulan ini, seperti malware KeyDrift di Cisco SD-WAN, tetapi itu celah yang berbeda.
Versi perbaikan
Cisco sudah merilis versi yang menutup celah ini. Untuk ASA, perbaikan ada di 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27, dan 9.24.10.1. Untuk FTD, perbaikan ada di 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, dan 10.1.1. Daftar produk dan versi terdampak lengkap ada di advisori resmi Cisco dengan kode cisco-sa-asaftd-tunnel-dos-s6mgkb75.
Langkah yang perlu diambil pengelola jaringan
Pengelola sebaiknya memeriksa dulu apakah konfigurasi firewall memuat webvpn dan autentikasi sekunder pada tunnel group, lalu menjadwalkan pembaruan ke versi di atas. Cisco tidak menyediakan solusi sementara yang menyeluruh. Mitigasi sementara yang disebut Cisco adalah mematikan autentikasi sekunder pada tunnel group yang terdampak, termasuk DefaultWEBVPNGroup. Cisco mengatakan langkah ini berhasil dalam pengujian, tetapi bisa memengaruhi fungsi jaringan, kinerja, dan postur keamanan, jadi uji dulu sebelum diterapkan. Mematikan daftar tunnel group saja belum tentu menghilangkan risiko, karena tunnel group bawaan bisa tetap rentan.
Tim yang melihat firewall restart tanpa sebab jelas perlu memeriksa log dan membandingkannya dengan jadwal serangan. Bagi pembaca di Indonesia yang mengelola VPN perusahaan lewat ASA atau FTD, pembaruan ini layak didahulukan karena eksploitasinya sudah berjalan.
Sumber: CSO Online dan Techzine. Gambar: CSO Online.