شرکت Cisco به‌روزرسانی‌های امنیتی جدیدی را برای رفع یک آسیب‌پذیری زیرو دِی (Zero-Day) با شدت بالا منتشر کرد که منجر به ایجاد وضعیت Denial-of-Service (DoS) در نرم‌افزارهای Adaptive Security Appliance (ASA) و Threat Defense (FTD) می‌شود. مهاجمان از این نقص امنیتی برای کرش کردن تجهیزات فایروال آسیب‌پذیر از راه دور استفاده می‌کنند.
جزئیات فنی و دامنه اثرگذاری
این آسیب‌پذیری که با شناسه CVE-2026-76418 ردیابی می‌شود، دستگاه‌هایی را تحت تأثیر قرار می‌دهد که از نرم‌افزارهای ASA و FTD استفاده کرده و در پیکربندی آن‌ها عبارت ‘webvpn’ وجود داشته و سرویس SSL VPN روی حداقل یک اینترفیس فعال باشد.
در صورت اکسپلویت موفقیت‌آمیز، مهاجمان بدون نیاز به احراز هویت (Unauthenticated) و به‌صورت از راه دور می‌توانند شرایط DoS را ایجاد کرده و باعث شوند دستگاه به‌طور غیرمنتظره ری‌لود (Reload) شود.
علت بروز آسیب‌پذیری و توصیه‌های Cisco
طبق اعلام تیم PSIRT سیسکو، این نقص امنیتی ناشی از خطاهای منطقی (Logic Errors) در زمان پیکربندی احراز هویت ثانویه (Secondary Authentication) روی یک Tunnel Group است. مهاجم می‌تواند با ارسال یک درخواست دست‌کاری شده (Crafted Request) هنگام اتصال به SSL remote access VPN، باعث ری‌لود شدن دستگاه شود.
سیسکو پس از مشاهده شواهدی مبنی بر اکسپلویت شدن این نقص در محیط‌های عملیاتی در اوایل ماه جاری، به مشتریان توصیه کرد که سریعاً فایروال‌های خود را به‌روزرسانی کنند. با این حال، این شرکت هنوز هیچ‌گونه شاخص شناسایی (IoC) یا اطلاعات تکمیلی درباره سازمان‌های هدف و عاملان این حملات منتشر نکرده است.
راهکارهای کاهش ریسک (Mitigation)
اگرچه سیسکو راهکار جایگزینی (Workaround) برای رفع کامل این مشکل ارائه نداده است، اما مدیرانی که قادر به به‌روزرسانی فوری نیستند، می‌توانند با غیرفعال کردن احراز هویت ثانویه در گروه DefaultWEBVPNGroup یا هر لیست Tunnel Group تعریف شده توسط کاربر، ریسک حمله را کاهش دهند.
بستر حملات و سوابق اخیر
پلتفرم مانیتورینگ Shadowserver در حال حاضر بیش از ۵۱,۰۰۰ دستگاه Cisco ASA SSL VPN را شناسایی کرده است که به‌صورت مستقیم در معرض اینترنت هستند. این موضوع سطح حمله (Attack Surface) گسترده‌ای را برای مهاجمان فراهم می‌کند.
این حادثه در ادامه زنجیره‌ای از حملات به تجهیزات سیسکو رخ می‌دهد. سال گذشته، دو آسیب‌پذیری دیگر (CVE-2025-20362 و CVE-2025-20333) در تجهیزات سری 5500-X شناسایی شدند که با کمپین ArcaneDoor مرتبط بودند. همچنین در ماه اوت، یک آسیب‌پذیری Zero-Day دیگر با شناسه CVE-2026-20349 برای ایجاد DoS در ASA و FTD گزارش شده بود.
