Il 29 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale che diffonde gli avvisi sulle minacce informatiche, ha segnalato che Cisco ha rilevato lo sfruttamento in rete di una vulnerabilità nei prodotti Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD). La falla è identificata come CVE-2026-76418. Ha gravità "alta", con punteggio CVSS v3.1 pari a 8.6 (il CVSS è una scala che misura la gravità delle vulnerabilità).
Chi è coinvolto
Secondo l’alert, sono interessati due prodotti Cisco. Per Secure Firewall Adaptive Security Appliance sono vulnerabili:
- le versioni precedenti alla 9.16.4.104;
- 9.18.x, versioni precedenti alla 9.18.4.96;
- 9.20.x, versioni precedenti alla 9.20.4.50;
- 9.22.x, versioni precedenti alla 9.22.3.200;
- 9.23.x, versioni precedenti alla 9.23.1.48;
- 9.24.x, versioni precedenti alla 9.24.1.27;
- 9.24.1.x, versioni precedenti alla 9.24.1.27;
- 9.24.10.x, versioni precedenti alla 9.24.10.1.
Per Secure Firewall Threat Defense sono vulnerabili:
- le versioni precedenti alla 7.0.11;
- 7.2.x, versioni precedenti alla 7.2.13;
- 7.4.x, versioni precedenti alla 7.4.9;
- 7.6.x, versioni precedenti alla 7.6.7;
- 7.7.x, versioni precedenti alla 7.7.14;
- 10.0.x, versioni precedenti alla 10.0.3;
- 10.1.x, versioni precedenti alla 10.1.1.
L’alert precisa che i prodotti risultano vulnerabili solo se il servizio SSL Remote Access VPN è raggiungibile e se nel tunnel group interessato è configurata l’autenticazione secondaria. Una VPN è un collegamento protetto che permette di accedere alla rete aziendale da fuori sede. Il tunnel group è l’insieme di impostazioni che regola le connessioni di un certo gruppo di utenti. L’autenticazione secondaria è il secondo controllo di identità richiesto dopo il primo.
Che rischio c’è
La vulnerabilità è di tipo Denial of Service, cioè un attacco che rende un servizio non disponibile. Secondo l’alert, dipende da errori logici nella gestione dell’autenticazione secondaria. Un attaccante remoto, senza bisogno di autenticarsi, potrebbe inviare richieste costruite appositamente verso il servizio SSL VPN e provocare il riavvio inatteso del dispositivo preso di mira.
In pratica, un firewall che si riavvia interrompe il traffico che sta controllando. Per un’organizzazione che usa la VPN per l’accesso da remoto, questo può significare collegamenti interrotti e servizi irraggiungibili. L’alert non parla di furto di dati: l’effetto descritto riguarda la disponibilità del servizio. Il CSIRT Italia indica inoltre che lo sfruttamento della falla è presente e valuta l’impatto sistemico come "critico", con un valore di 77.69.
Cosa fare
In linea con le dichiarazioni di Cisco, il CSIRT Italia raccomanda di aggiornare tempestivamente i prodotti vulnerabili, seguendo le indicazioni del bollettino di sicurezza pubblicato dal produttore e indicato nella sezione dei riferimenti dell’alert.
Due verifiche di buon senso possono aiutare:
- controllare la versione installata sui propri firewall e confrontarla con l’elenco sopra;
- se la gestione dei dispositivi è affidata a un fornitore IT, avvisarlo e chiedere conferma dei tempi dell’aggiornamento.
Fonte: alert AL01/261029/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 29 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
