معمولاً فکر می‌کنیم هر لایهٔ احراز هویت که اضافه کنیم، VPN امن‌تر می‌شود. نقص تازهٔ فایروال‌های سیسکو نشان داد گاهی همان لایهٔ اضافه، مسیر حمله را باز می‌کند. سیسکو این هفته نقص CVE-2026-76418 با امتیاز 8.6 را در سرویس SSL VPN نرم‌افزارهای ASA و FTD وصله کرد و گفت مهاجمان پیش از وصله از آن استفاده کرده‌اند.
مهاجم بدون نام کاربری و رمز، هنگام اتصال به SSL VPN یک درخواست دستکاری‌شده می‌فرستد و فایروال ری‌استارت می‌شود. شرط آسیب‌پذیری این است که احراز هویت ثانویه (Secondary Authentication) روی یک Tunnel Group تنظیم شده باشد. نتیجه، منع سرویس است: VPN و ترافیک عبوری تا بالا آمدن دستگاه قطع می‌شود. سیسکو نگفته حملات کار چه کسی است و نشانهٔ نفوذی هم منتشر نکرده است.
به گزارش BleepingComputer، بنیاد Shadowserver بیش از ۵۱ هزار SSL VPN سیسکو ASA را روی اینترنت می‌بیند. این دومین زیرو-دی منع سرویس در VPN این فایروال‌ها از اوت ۲۰۲۶ است.
ارتقای فوری: نخستین نسخه‌های امن ASA شامل 9.18.4.96، 9.20.4.50، 9.22.3.200 و 9.23.1.48 است و در FTD نسخه‌های 7.2.13، 7.4.9، 7.6.7 و 10.0.3.
راهکار موقت: تا زمان ارتقا، احراز هویت ثانویه را روی DefaultWEBVPNGroup و Tunnel Groupهای دیگر بررسی و در صورت امکان موقتاً بردارید. غیرفعال کردن فهرست Tunnel Group به‌تنهایی کافی نیست.
پایش ری‌استارت: ری‌استارت ناگهانی فایروال باید در سامانهٔ پایش رویدادها هشدار فوری بسازد، نه اینکه از تماس کاربران متوجه شوید.
SD-WAN را فراموش نکنید: تیم Talos همزمان گزارش داد گروه UAT-11473 با نقص CVE-2026-20127 در Catalyst SD-WAN بدافزار KeyDrift را برای سرقت مادهٔ کلید رمزنگاری نصب کرده است.
در یکی از ارزیابی‌ها دیدیم فایروال اصلی یک سازمان دو سال ارتقا نیافته بود، چون کسی پنجرهٔ نگهداری را تأیید نمی‌کرد. خوشهٔ HA درست‌طراحی‌شده همین بهانه را از بین می‌برد: یک عضو ارتقا می‌یابد و دیگری ترافیک را نگه می‌دارد.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/cisco-asa-ftd-zero
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
