Cisco menerbitkan advisori pada 28 Oktober 2026 untuk CVE-2026-76418 (CVSS 8,6), celah di layanan SSL VPN akses jarak jauh pada Cisco Secure Firewall ASA dan Secure Firewall Threat Defense (FTD). Penyerang tanpa login bisa membuat firewall reload sendiri sehingga terjadi denial of service. Cisco PSIRT menyatakan mengetahui eksploitasi aktif sejak Oktober 2026.
Perangkat mana yang rentan
Tidak semua firewall ASA dan FTD terkena. Perangkat rentan bila tiga syarat terpenuhi sekaligus: rilis perangkat lunaknya belum diperbaiki, fitur webvpn aktif di minimal satu antarmuka sehingga halaman login SSL VPN bisa dijangkau, dan autentikasi sekunder (secondary-authentication-server-group) diatur pada tunnel group mana pun, termasuk DefaultWEBVPNGroup. Penyerang tidak perlu berhasil login VPN untuk mencapai jalur yang rentan.
Cisco menyebut Cloud-delivered Firewall, cdFMC, Secure Access, dan Secure FMC Software tidak terdampak. Peneliti Eric Fernald menemukan celah ini saat menangani kasus TAC, dan SecurityOnline mencatat belum ada kode proof-of-concept publik saat artikelnya ditulis. Menurut Rescana, CISA memasukkan celah ini ke katalog KEV pada 29 Oktober dengan tenggat bagi lembaga federal AS pada 1 November 2026. Advisori Cisco tidak menyebut pelaku maupun jumlah perangkat yang terkena.
Versi yang sudah diperbaiki
Untuk ASA, perbaikan pertama ada di 9.16.4.104 (untuk rilis 9.16 dan lebih lama), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, serta 9.24.1.27 atau 9.24.10.1. Untuk FTD, perbaikannya 7.0.11 (untuk 7.0 dan lebih lama), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, dan 10.1.1.
Langkah yang perlu Anda ambil
Periksa dulu apakah firewall Anda memakai webvpn dan autentikasi sekunder pada tunnel group. Bila ya, jadwalkan upgrade ke versi di atas secepatnya, karena eksploitasi sudah berjalan. Cisco menegaskan tidak ada workaround lengkap, tetapi menyarankan mitigasi sementara. Jika DefaultWEBVPNGroup tidak memakai autentikasi sekunder, matikan daftar tunnel group, dan pengguna VPN lalu harus mengetahui nama profil secara manual. Jika DefaultWEBVPNGroup memakai autentikasi sekunder, Anda bisa melepas pengaturan itu, tetapi langkah ini menurunkan keamanan VPN, jadi uji dulu di lingkungan non-produksi.
Pantau juga log firewall untuk reload yang tidak terjelaskan, terutama di jam kerja. Produk Cisco lain, Catalyst SD-WAN, sebelumnya dilaporkan Cisco Talos dieksploitasi lewat CVE-2026-20127, seperti yang kami tulis di artikel ini. Bagi perusahaan di Indonesia yang mengandalkan VPN Cisco untuk karyawan jarak jauh, firewall yang terus reload berarti akses kerja terputus, sehingga upgrade layak diprioritaskan.
Sumber: advisori Cisco, SecurityOnline, dan Rescana. Gambar: SecurityOnline.