קריאת תמיכה שנפתחה אצל Cisco תיארה חומת אש שעולה מחדש בלי הסבר. החוקר שישב עליה, Eric Fernald, מצא בסופה חולשה שתוקפים כבר ניצלו. היא קיבלה 8.6, וזו השנייה שמפילה את אותו שירות VPN תוך אחד עשר שבועות.

סקירה כללית

כשמתחברים לשירות ה-Remote Access SSL VPN של חומת אש מסדרת ASA או FTD, המכשיר מטפל בבקשה עוד לפני שהוא יודע מי שלח אותה. בענף הקוד שאחראי על אימות משני יש שגיאות לוגיות שמביאות אותו להסתמך על ערך שחזר מפונקציה בלי לבדוק. הערך הוא מצביע ריק, התהליך נופל, והמכשיר עולה מחדש. לצורה הזאת של כשל קוראים CWE-690.

התוקף לא קורא מידע ולא משנה אותו. הוא רק מוריד את חומת האש, ואיתה את ה-VPN של העובדים ואת אכיפת התעבורה בגבול הרשת. Cisco כותבת שהתחברות מוצלחת אינה נדרשת כדי להגיע לקוד הפגיע.

מזהה: CVE-2026-76418
סוג: הפלת שירות דרך ערך מוחזר שלא נבדק ופנייה למצביע ריק (CWE-690)
מוצר: Cisco Secure Firewall ASA ו-FTD, בשירות ה-Remote Access SSL VPN
גרסאות מושפעות: ASA 9.16.1 עד 9.24.1.26, FTD 7.0.0 עד 10.1.0 (רשימה פרטנית ב-NVD)
גרסה מתוקנת: ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1
ניצול בפועל: כן, בקטלוג ה-KEV של CISA מאז 29 באוקטובר 2026

ציר זמן

11 באוגוסט 2026: Cisco מפרסמת את CVE-2026-20349, חולשה אחרת באותו שירות שמפילה את המכשיר, שגם היא התגלתה אחרי שנוצלה.
אוקטובר 2026: צוות ה-PSIRT של Cisco מגלה ניצול בפועל של החולשה.
28 באוקטובר 2026: הודעת האבטחה של Cisco מתפרסמת ב-19:15 GMT, והרשומה נפתחת ב-NVD באותו ערב.
29 באוקטובר 2026: CISA מכניסה את החולשה לקטלוג ה-KEV.
1 בנובמבר 2026: המועד שנקבע לגופי הממשל הפדרליים בארצות הברית, שלושה ימים בלבד.

איך הניצול עובד

התוקף ניגש לעמוד ההתחברות של ה-VPN, ובמקום להזדהות שולח בקשה שבנויה במיוחד. היא מגיעה לענף האימות המשני, ושם מחכה לה הערך המוחזר שאיש אינו בודק. המכשיר עולה מחדש, ומי שרוצה להשאיר אותו למטה חוזר על זה. התנאי הוא תצורה בלבד: webvpn על ממשק אחד לפחות ואימות משני על ה-tunnel group, כולל DefaultWEBVPNGroup שלא מופיע בעמוד ההתחברות.

ניתוח ציון ה-CVSS

ציון CVSS: 8.6
בפועל: תקיפה מהרשת, בלי שם משתמש ובלי שמישהו צריך ללחוץ, שמסתיימת במכשיר שיורד. אותו ציון ואותו וקטור ניתנו גם לחולשה מאוגוסט, כך שמהציון לבדו אי אפשר ללמוד במה השתיים נבדלות. ההבדל הרשום היחיד הוא הסיווג: CWE-244 שם, CWE-690 כאן.

איפה למצוא Proof of Concept (PoC)

אין PoC ציבורי לחולשה הזאת ולא ניתוח טכני עצמאי. Cisco לא מסרה פרטים על התקיפות ולא על מי שמאחוריהן, והסיקור המפורט ביותר הוא הדיווח של SecurityWeek, שמעמיד את החולשה מול זו של אוגוסט. אם אותה קבוצה עומדת מאחורי שתיהן, אף אחד עדיין לא אמר.

שתי חולשות באותו שירות תוך אחד עשר שבועות, ושתיהן התגלו אחרי שכבר נוצלו. מי שמגיש את ה-VPN הזה לאינטרנט צריך להתייחס אליו כרכיב תחת תשומת לב פעילה, לא כתשתית שמתעדכנת פעם ברבעון.