מי שמתחזק חומת אש של Cisco מסדרת ASA או FTD צריך לבדוק שני דברים: אם שירות ה-VPN מרחוק מופעל עליה, ואם מוגדר עליו אימות משני. השילוב הזה הוא מה שהחולשה הזאת דורשת, ומי שנמצא בו חשוף לתוקף שמפיל את המכשיר מרחוק בלי להזדהות. הציון הוא 8.6, והחולשה נכנסה לקטלוג המנוצלות בפועל של CISA ב-29 באוקטובר 2026.

מה החולשה?

כשמישהו מתחבר לשירות ה-Remote Access SSL VPN של המכשיר, המכשיר מתחיל לטפל בבקשה שלו עוד לפני שהוא יודע מי הוא. זה אינו פגם בתכנון אלא הסדר ההכרחי, כי צריך לקרוא את הבקשה כדי בכלל להגיע לשלב שבו בודקים שם משתמש וסיסמה.

לפי הרשומה, בתוך הטיפול הזה יש שגיאות לוגיות שמתעוררות כשמוגדר אימות משני על ה-tunnel group, ההגדרה שתחתיה נקבע כיצד מזדהים מי שמתחברים דרכה. תוקף ששולח בקשה שבנויה במיוחד ברגע ההתחברות מגיע בדיוק לנקודה הזאת, והמכשיר עולה מחדש.

הסיווג שניתן לחולשה, CWE-690, מתאר את הצורה שכשל כזה לובש בקוד. פונקציה מחזירה ערך שמסמן כישלון, הקוד אינו בודק את הערך שחזר, וממשיך להשתמש בו כאילו הוא תקין. כשהערך הזה הוא מצביע ריק, התהליך שפונה אליו נופל. בציוד רשת תהליך שנופל אינו חלון שנסגר, אלא מכשיר שעולה מחדש ובינתיים אינו מעביר תעבורה.

פרופיל ה-CVSS מדויק כאן בשני כיוונים. הוא מסמן אפס פגיעה בסודיות ואפס בשלמות, כלומר אין קריאה של מידע ואין שינוי שלו. ומה שמרים אותו ל-8.6 בכל זאת הוא הסימון שההשפעה אינה נעצרת ברכיב הפגיע, מפני שהמכשיר שיורד הוא זה שכל התעבורה עוברת דרכו.

מי מושפע?

כאן כדאי להפריד בין מה שהרשומה אומרת לבין מה שאינה אומרת. היא מציינת את תוכנת Cisco Secure Firewall ASA ואת Cisco Secure Firewall Threat Defense, אבל רשימת הגרסאות המושפעות בה ריקה. מי שרוצה לדעת אם הגרסה שרצה אצלו בטווח צריך את הודעת האבטחה של היצרן, לא את רשומת NVD.

מה שכן מופיע ברשומה הוא התנאי, והוא החשוב יותר מבחינה מעשית. החולשה מתעוררת כשמוגדר אימות משני על ה-tunnel group. מכשיר שמגיש גישה מרחוק בלי אימות משני אינו באותו מצב, וזה הבדל שאפשר לבדוק בתצורה בתוך דקות.

ויש כאן היפוך שכדאי לשים עליו את האצבע: אימות משני הוא בדיוק מה שארגון מוסיף כדי לחזק את ההתחברות מרחוק, ודווקא הוא התנאי שפותח את החולשה. הארגונים שהקשיחו את שער ה-VPN שלהם הם אלה שצריכים לקרוא את ההודעה הזאת ראשונים.

האם מנוצלת בפועל?

כן. הרשומה נפתחה ב-NVD ב-28 באוקטובר 2026, ויום אחד אחר כך החולשה נכנסה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הקטלוג שמרכז חולשות שיש עליהן ראיות לשימוש של תוקפים בשטח.

המועד שנקבע לגופי הממשל הפדרליים לסגור אותה הוא 1 בנובמבר 2026, שלושה ימים בלבד אחרי שנכנסה לקטלוג. לוח זמנים כזה הוא האינדיקציה הברורה ביותר שהקטלוג יודע לתת, והוא רלוונטי גם למי שאינו גוף ממשל אמריקאי.

מה עושים?

זו משימה למי שמתחזק את חומת האש, לא למשתמש הקצה.

ראשית, בדקו אם שירות ה-Remote Access SSL VPN מופעל בכלל על המכשיר. מכשיר שאינו מגיש אותו אינו חשוף דרך החולשה הזאת, וזאת הבדיקה המהירה מכולן.

שנית, בדקו אם מוגדר אימות משני על ה-tunnel group שדרכו העובדים מתחברים. זה התנאי שהרשומה מציינת, ולכן זאת הבדיקה שאומרת אם אתם בטווח.

שלישית, קחו את הגרסה המתקנת מתוך הודעת האבטחה של Cisco. רשומת NVD אינה נוקבת בגרסה שסוגרת, ולכן ההודעה היא המקום שבו רואים מאיזו מהדורה לאיזו צריך לעבור.

ואל תאלתרו מעקף. הפיתוי המובן הוא לכבות את האימות המשני, מפני שהוא התנאי שמפעיל את החולשה, אבל זה מחליף בעיית זמינות בהתחברות חלשה יותר לרשת הארגונית. אם היצרן מציין בהודעה מעקף תצורה, הוא זה שצריך לרוץ עד שהעדכון נכנס.