Cisco-ն շտկել է VPN-ի խոցելիությունը, որն, իր խոսքով, օգտագործվել է հարձակվողների կողմից

Cisco-ն թողարկել է միջցանցային էկրանի CVE-2026-76418 բարձր վտանգավորության խոցելիությունը շտկող թարմացումներ։ Ընկերության խոսքով՝ հարձակվողներն օգտագործել են այն՝ անսպասելի վերագործարկումներ առաջացնելու և ծառայությունն ընդհատելու համար։ Ինտերնետի մշտադիտարկման Shadowserver հարթակը հաշվառում է ինտերնետից հասանելի ավելի քան 51 000 Cisco ASA SSL VPN սարք, սակայն այդ թիվը չի ցույց տալիս խոցելի կամ խոցված համակարգերի քանակը։

Խոցելիությունն առկա է Secure Firewall Adaptive Security Appliance (ASA) և Secure Firewall Threat Defense (FTD) ծրագրերի որոշ կազմաձևումներում։ Այն վերաբերում է հեռահար մուտքի վիրտուալ մասնավոր ցանցի (VPN) ծառայությանը, որն օգտատերերին թույլ է տալիս հեռակա միանալ ցանցին։ Cisco-ն իր անվտանգության ծանուցումը հրապարակել է հոկտեմբերի 28-ին և հայտնել, որ խոցելիության ակտիվ օգտագործման մասին իմացել է 2026-ի հոկտեմբերին, ինչպես գրել է The Hacker News-ը հոկտեմբերի 29-ի հրապարակման մեջ։ Cisco-ն չի հայտնել, թե երբ են սկսվել հարձակումները, որքան տարածված են դրանք կամ ով է դրանց պատասխանատուն։

Խոցելիությունը խոցելիությունների գնահատման ընդհանուր համակարգում (CVSS) ստացել է 8,6 միավոր։ Cisco-ի խոսքով՝ տրամաբանական սխալներ են առաջանում, երբ թունելային խմբի՝ VPN կապի պրոֆիլի համար կազմաձևված է երկրորդային նույնականացում՝ նույնականացման լրացուցիչ ստուգում։ Հարձակվողը կարող է հատուկ ձևավորված հարցում ուղարկել SSL հեռահար մուտքի VPN ծառայությանը և առաջացնել անսպասելի վերագործարկում՝ հանգեցնելով ծառայության մերժման։ VPN հաջող մուտք գործելն անհրաժեշտ չէ։

Shadowserver-ը հաշվառում է ինտերնետից հասանելի ավելի քան 51 000 սարք, որոնք պարտադիր չէ, որ խոցելի լինեն

BleepingComputer-ը հոկտեմբերի 29-ին գրել է, որ Shadowserver-ը հաշվառում է ավելի քան 51 000 Cisco ASA սարք, որոնց SSL VPN ծառայությունները հասանելի են ինտերնետից։ Այդ թվում առանձնացված չեն արդեն պաշտպանված սարքերը կամ խաբուսիկ համակարգերը։

Թիվը ցույց է տալիս ինտերնետից հասանելի սարքերի քանակը, ոչ թե CVE-2026-76418-ի նկատմամբ հաստատված խոցելիությունը կամ հաջողված հարձակումները։ Որոշելու համար՝ արդյոք սարքը խոցելի է, կառավարիչները պետք է ստուգեն ծրագրային տարբերակն ու VPN-ի կազմաձևումը։

Որ դեպքերում է անհրաժեշտ գործել

Cisco-ի խոսքով՝ սարքը խոցելի է միայն այն դեպքում, երբ միաժամանակ առկա են հետևյալ երեք պայմանները․

• Սարքում աշխատում է ASA կամ FTD ծրագրի խոցելի տարբերակ։
• SSL հեռահար մուտքի VPN-ի մուտքի ծառայությունը հասանելի է։
• Համապատասխան թունելային խմբում կազմաձևված է երկրորդային նույնականացում։

Ստուգելու համար, թե արդյոք VPN ծառայությունը միացված է, Cisco-ն կառավարիչներին առաջարկում է գործող կազմաձևում փնտրել webvpn գրառումը, որի տակ առնվազն մեկ ինտերֆեյսի համար պետք է լինի enable <interface_name> հրամանը։ Կառավարիչները պետք է նաև ստուգեն ծրագրային տարբերակը, ծառայության հասանելիությունը և երկրորդային նույնականացման պայմանը։

• Եթե կազմաձևված է tunnel-group-list enable հրամանը, բոլոր թունելային խմբերում, ներառյալ լռելյայն DefaultWEBVPNGroup խումբը, ստուգեք secondary-authentication-server-group պարամետրի առկայությունը։ Պետք է ստուգել նաև մուտքի էջի պրոֆիլների ցանկում չցուցադրվող խմբերը։
• Եթե ցանկի կարգավորումը բացակայում է կամ հեռացվել է, միևնույն է, ստուգեք DefaultWEBVPNGroup խմբում երկրորդային նույնականացման առկայությունը։ Ցանկն անջատելը չի վերացնում խոցելիության ազդեցությունը, եթե այդ լռելյայն խումբն օգտագործում է երկրորդային նույնականացում։

FTD-ի դեպքում Cisco-ն խորհուրդ է տալիս ստուգել թե՛ գործարկված հեռահար մուտքի VPN քաղաքականությունը, թե՛ դրա արդյունքում սարքում գործող կազմաձևը։ Secure Firewall Management Center (FMC) ծրագրում VPN կարգավորումները գտնվում են Devices > VPN > Remote Access բաժնում։ Secure Firewall Device Manager (FDM) ծրագրում պետք է օգտագործել Remote Access VPN բաժինը։

Cisco-ի ցանկի համաձայն՝ խոցելիությունը չի ազդում Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access և Secure Firewall Management Center ծրագրերի վրա։

Շտկված տարբերակներն ըստ ծրագրային ճյուղի

Cisco-ն ներկայացրել է շտկումը ներառող առաջին տարբերակների հետևյալ ցանկը։ Կառավարիչները պետք է ընտրեն իրենց ծրագրային ճյուղին համապատասխան թարմացումը։

Ժամանակավոր մեղմման միջոցներն ու դրանց հետևանքները

Cisco-ն առաջարկում է կազմաձևման երկու ժամանակավոր միջոց՝ կախված նրանից, թե լռելյայն թունելային խումբն օգտագործում է արդյոք երկրորդային նույնականացում․

• Եթե DefaultWEBVPNGroup խումբը չի օգտագործում երկրորդային նույնականացում, անջատեք թունելային խմբերի ցանկը՝ WebVPN-ի կազմաձևման ռեժիմում մուտքագրելով no tunnel-group-list enable հրամանը։ Օգտատերերն այլևս չեն կարողանա ընտրել կապի պրոֆիլը տրամադրվող ցանկից և պետք է իմանան, թե որ պրոֆիլն օգտագործեն։
• Եթե DefaultWEBVPNGroup խումբն օգտագործում է երկրորդային նույնականացում, հեռացրեք այն՝ օգտագործելով no secondary-authentication-server-group հրամանը։ Միայն ցանկն անջատելը բավարար չէ։ Cisco-ն զգուշացնում է, որ երկրորդային նույնականացման հեռացումը նվազեցնում է հեռահար մուտքի VPN-ի անվտանգությունը։

Cisco-ի խոսքով՝ մեղմման միջոցը փորձնական միջավայրում հաջող արդյունք է տվել, սակայն կառավարիչները պետք է այն կիրառելուց առաջ գնահատեն դրա արդյունավետությունն ու հնարավոր ազդեցությունն իրենց համակարգերի գործառույթների, աշխատանքի և անվտանգության վրա։

Կազմաձևման փոփոխությունները ժամանակավոր միջոցներ են և չեն շտկում ծրագրային խոցելիությունը։ Cisco-ն խստորեն խորհուրդ է տալիս անցնել համապատասխան շտկված տարբերակին՝ խոցելիությունը վերացնելու և իր ծանուցման մեջ նկարագրված ազդեցությունից խուսափելու համար։