A Cisco confirmou que uma falha no serviço de VPN dos firewalls Cisco Secure Firewall ASA e Secure Firewall Threat Defense (FTD) já está sendo explorada. Quem ataca não precisa de login: basta mandar o tráfego certo para o equipamento reiniciar. O aviso saiu em 28 de outubro de 2026 e, no dia seguinte, o órgão americano de cibersegurança (CISA) colocou a falha na lista de vulnerabilidades exploradas, com prazo até domingo, 1º de novembro, para os órgãos federais dos Estados Unidos corrigirem.
Por que importa para você: muita empresa média e pequena usa ASA ou Firepower como VPN para a equipe que trabalha de casa ou de outra unidade. Firewall reiniciando no meio do expediente derruba a VPN e, em muitos casos, a internet do escritório inteiro.
O que a Cisco divulgou
- A falha é a CVE-2026-76418, com nota 8,6 de 10 (alta). Ela fica no serviço de VPN SSL de acesso remoto do ASA e do FTD e permite que um atacante remoto, sem autenticação, force o equipamento a reiniciar. É uma negação de serviço: o objetivo é derrubar, não roubar dados.
- Exploração confirmada. Nas palavras da própria Cisco, a equipe de resposta a incidentes da empresa (PSIRT) soube em outubro de 2026 de exploração ativa da falha.
- Não tem atalho. A Cisco informa que não há workaround. Há uma mitigação, que tira a autenticação secundária da VPN e, segundo a própria Cisco, deixa o acesso menos seguro.
- Ficam de fora o Cloud-delivered Firewall, o cdFMC, o Secure Access e o Secure FMC.
Quando o seu equipamento está exposto
Pelo aviso, o firewall só fica vulnerável quando três coisas acontecem juntas:
- roda uma versão afetada do ASA ou do FTD;
- tem o webvpn com VPN SSL ativo em alguma interface;
- tem um "secondary-authentication-server-group" configurado em algum tunnel group, inclusive no DefaultWEBVPNGroup, que vem de fábrica.
A Cisco ressalta que o atacante não precisa conseguir entrar na VPN para atingir o trecho vulnerável. Ter a tela de login da VPN aberta para a internet já basta.
Versões que corrigem
Para o ASA, as primeiras versões corrigidas são 9.16.4.104 (vale também para quem está em versão mais antiga que a 9.16), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 e 9.24.1.27 ou 9.24.10.1.
Para o FTD, as primeiras versões corrigidas são 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 e 10.1.1.
Se a sua versão é mais nova que a da lista do mesmo ramo, você já está protegido. Se é mais antiga, precisa atualizar.
O que fazer agora
- Descubra se a empresa usa ASA ou FTD. Se a VPN de acesso remoto usa o Cisco Secure Client (o antigo AnyConnect), a chance é alta. Pergunte a quem cuida da rede ou ao fornecedor que instalou.
- Confira a versão no painel do equipamento ou com o comando "show version".
- Veja se há autenticação secundária configurada nos tunnel groups. Sem ela, o equipamento não entra nas condições do aviso.
- Atualize para a versão corrigida do seu ramo ainda nesta semana. Marque uma janela fora do horário de pico, porque o firewall reinicia na atualização.
- Se não der para atualizar logo, avalie com o técnico a mitigação indicada pela Cisco ("no tunnel-group-list enable" ou "no secondary-authentication-server-group"). Ela tira uma camada de segurança da VPN, então use só como ponte até a atualização e compense com senha forte e duplo fator.
- Fique de olho em reinícios inesperados do firewall. Queda de VPN sem motivo pode ser sinal de que alguém está testando a falha.
- Tenha um plano B de acesso, como um link de internet reserva, para a empresa não parar se o firewall cair.
O que ainda não se sabe
- A Cisco não divulgou quando os ataques começaram, quem está por trás nem em que escala.
- Não há informação sobre ataques no Brasil.
- A página do alerta da CISA não pôde ser lida por nós; a inclusão da falha na lista, em 29 de outubro, e o prazo de 1º de novembro foram conferidos no catálogo oficial de vulnerabilidades exploradas, publicado pela própria CISA.
Onde a Oneck entra
Firewall é daqueles equipamentos que alguém instalou anos atrás e ninguém mais lembra a versão. A frente de Software & Sistemas da Oneck Creative ajuda a sua empresa a mapear o que está exposto na internet, organizar as atualizações e montar um plano para a VPN não virar ponto único de falha. Se você tem um Cisco na rede e quer saber se está nas condições do aviso, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Cisco: aviso de segurança cisco-sa-asaftd-tunnel-dos-s6mgkb75 (28/10/2026); CISA: catálogo de vulnerabilidades exploradas (feed oficial, 29/10/2026); CISA: alerta de 29/10/2026; NVD: CVE-2026-76418; THN, portal de segurança (29/10/2026).