Cisco Peringatkan Celah Zero-Day CVE-2026-76418, Hacker Bisa Membuat Firewall ASA dan FTD Crash
Cisco merilis pembaruan keamanan darurat untuk menangani kerentanan zero-day pada perangkat Cisco Secure Firewall Adaptive Security Appliance (ASA) dan Secure Firewall Threat Defense (FTD) yang telah dieksploitasi secara aktif oleh pelaku ancaman siber.
Kerentanan yang dilacak sebagai CVE-2026-76418 tersebut memungkinkan penyerang tanpa autentikasi menyebabkan perangkat firewall mengalami crash dan melakukan restart secara tiba-tiba melalui layanan SSL VPN.
Celah ini memiliki skor CVSS 8.6 dengan tingkat keparahan High dan dapat dimanfaatkan untuk melancarkan serangan Denial of Service (DoS).
Dalam security advisory yang diterbitkan pada 28 Oktober 2026, Cisco mengonfirmasi bahwa tim Product Security Incident Response Team (PSIRT) telah menemukan bukti eksploitasi aktif sepanjang Oktober.
Cisco meminta pelanggan segera memperbarui software perangkat yang terdampak untuk mencegah gangguan terhadap layanan VPN dan konektivitas jaringan perusahaan.
CVE-2026-76418 Memengaruhi Layanan SSL VPN Cisco
Kerentanan CVE-2026-76418 ditemukan pada komponen Remote Access SSL VPN yang digunakan oleh Cisco ASA dan FTD.
Layanan tersebut memungkinkan karyawan atau pengguna yang telah mendapatkan izin mengakses jaringan internal perusahaan dari lokasi berbeda melalui koneksi VPN terenkripsi.
Menurut Cisco, kerentanan ini muncul akibat kesalahan logika ketika fitur secondary authentication dikonfigurasi pada tunnel group tertentu.
Dalam kondisi tersebut, penyerang dapat mengirimkan request yang telah dimodifikasi secara khusus menuju layanan SSL VPN.
Jika berhasil, request tersebut dapat memicu kesalahan pemrosesan yang menyebabkan perangkat melakukan reload secara tidak terduga.
Akibatnya, konektivitas VPN maupun layanan jaringan yang bergantung pada firewall berpotensi mengalami gangguan sementara.
Yang membuat kerentanan ini berbahaya adalah penyerang tidak perlu memiliki akun atau berhasil login ke VPN untuk memicu kondisi tersebut.
Namun, Cisco menegaskan bahwa tidak semua perangkat ASA dan FTD otomatis rentan.
Kerentanan hanya berlaku pada perangkat yang menjalankan versi software terdampak, memiliki layanan SSL remote access VPN yang dapat dijangkau, serta menggunakan konfigurasi secondary authentication yang relevan.
Konfigurasi WebVPN Menjadi Salah Satu Indikator Risiko
Cisco menjelaskan bahwa administrator dapat memeriksa konfigurasi perangkat untuk mengidentifikasi kemungkinan paparan terhadap CVE-2026-76418.
Salah satu indikator awal adalah keberadaan konfigurasi webvpn dengan SSL VPN yang diaktifkan pada minimal satu interface jaringan.
Namun, konfigurasi tersebut saja belum cukup untuk memastikan perangkat terdampak.
Administrator juga harus memeriksa penggunaan secondary authentication pada tunnel group.
Pada sistem Cisco ASA, konfigurasi yang perlu diperhatikan mencakup parameter secondary-authentication-server-group.
Pemeriksaan harus mencakup tunnel group yang dibuat pengguna maupun grup default bernama DefaultWEBVPNGroup.
Bahkan ketika daftar tunnel group tidak ditampilkan pada halaman login VPN, konfigurasi secondary authentication pada grup default tetap dapat menyebabkan perangkat rentan.
Untuk Cisco FTD, pemeriksaan dapat dilakukan melalui kebijakan Remote Access VPN yang dikelola menggunakan Cisco Secure Firewall Management Center (FMC) atau Firewall Device Manager (FDM).
Cisco menekankan bahwa keberadaan jalur pemrosesan yang rentan tidak membutuhkan autentikasi VPN yang berhasil.
Karena itu, firewall yang menyediakan akses SSL VPN melalui internet perlu mendapatkan perhatian khusus.
Cisco Konfirmasi Eksploitasi Zero-Day Sejak Oktober 2026
Cisco mengungkapkan bahwa tim PSIRT telah mengetahui adanya aktivitas eksploitasi terhadap CVE-2026-76418 sebelum advisory keamanan diterbitkan.
Dalam pengumumannya, perusahaan menyebut bahwa serangan aktif telah diamati sepanjang Oktober 2026.
Meski demikian, Cisco belum mengungkap identitas kelompok penyerang, organisasi yang menjadi target, maupun jumlah perangkat yang berhasil diganggu.
Perusahaan juga belum menyediakan indikator kompromi atau Indicators of Compromise (IoC) khusus untuk serangan tersebut.
CVE-2026-76418 merupakan kerentanan Denial of Service, sehingga dampak yang dikonfirmasi Cisco adalah gangguan ketersediaan layanan melalui restart perangkat.
Kerentanan ini tidak diklasifikasikan sebagai Remote Code Execution (RCE) dan tidak secara langsung memberikan kemampuan menjalankan perintah atau mengambil alih firewall.
Walaupun demikian, gangguan terhadap firewall tetap dapat menimbulkan dampak serius karena perangkat tersebut sering menjadi bagian penting dari konektivitas jaringan perusahaan.
Jika restart terjadi berulang kali, pengguna berpotensi mengalami gangguan akses VPN dan layanan jaringan lainnya.
Lebih dari 51.000 Cisco ASA SSL VPN Terdeteksi di Internet
Berdasarkan pemantauan Shadowserver Foundation, terdapat lebih dari 51.000 perangkat Cisco ASA SSL VPN yang dapat dijangkau melalui internet.
Temuan tersebut memperlihatkan besarnya jumlah perangkat jaringan Cisco yang menyediakan layanan akses jarak jauh secara publik.
Namun, Shadowserver tidak memberikan informasi mengenai berapa banyak perangkat tersebut menggunakan versi software yang rentan terhadap CVE-2026-76418.
Data tersebut juga tidak memastikan apakah konfigurasi secondary authentication yang diperlukan untuk eksploitasi telah diaktifkan.
Sebagian perangkat mungkin sudah mendapatkan pembaruan keamanan, sedangkan sebagian lainnya dapat berupa sistem honeypot.
Dengan demikian, angka 51.000 tidak dapat langsung dianggap sebagai jumlah firewall yang dapat dieksploitasi.
Meski begitu, keberadaan layanan SSL VPN yang terbuka melalui internet tetap menjadi perhatian karena dapat meningkatkan permukaan serangan apabila perangkat belum diperbarui.
Versi Cisco ASA dan FTD yang Sudah Mendapatkan Patch
Cisco telah menyediakan pembaruan keamanan untuk sejumlah cabang software ASA dan FTD.
Berikut versi pertama yang telah menyertakan perbaikan CVE-2026-76418 berdasarkan security advisory resmi Cisco.
Cisco Secure Firewall ASA
| Cabang Software | Versi Perbaikan |
|---|---|
| 9.16 dan sebelumnya | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Cisco Secure Firewall FTD
| Cabang Software | Versi Perbaikan |
|---|---|
| 7.0 dan sebelumnya | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Administrator disarankan memilih versi pembaruan sesuai cabang software dan model perangkat yang digunakan.
Cisco juga menyediakan Software Checker untuk membantu mengidentifikasi kerentanan dan versi perbaikan yang sesuai.
Mitigasi Sementara Jika Patch Belum Bisa Dipasang
Cisco menyatakan belum tersedia workaround yang sepenuhnya mengatasi CVE-2026-76418 tanpa pembaruan software.
Namun, terdapat mitigasi sementara dengan menonaktifkan secondary authentication pada konfigurasi tunnel group yang terdampak.
Apabila DefaultWEBVPNGroup tidak menggunakan secondary authentication, administrator dapat mempertimbangkan penonaktifan daftar tunnel group melalui konfigurasi no tunnel-group-list enable.
Sementara itu, apabila grup default menggunakan secondary authentication, konfigurasi tersebut dapat dihapus menggunakan perintah no secondary-authentication-server-group.
Namun, menonaktifkan secondary authentication dapat mengurangi tingkat keamanan akses VPN.
Perubahan juga berpotensi memengaruhi proses autentikasi pengguna dan konfigurasi koneksi yang telah diterapkan.
Karena itu, Cisco meminta pelanggan mengevaluasi dampak mitigasi sebelum menerapkannya pada lingkungan produksi.
Perusahaan tetap merekomendasikan upgrade ke versi software yang sudah diperbaiki sebagai langkah utama.
Cisco ASA dan FTD Berulang Kali Menjadi Target Zero-Day
CVE-2026-76418 menambah daftar kerentanan keamanan pada Cisco ASA dan FTD yang diketahui telah dieksploitasi oleh pelaku ancaman.
Pada September 2025, Cisco sebelumnya merilis pembaruan untuk dua kerentanan zero-day, yaitu CVE-2025-20362 dan CVE-2025-20333.
Kedua celah tersebut dikaitkan dengan kampanye serangan ArcaneDoor yang menargetkan infrastruktur jaringan dan organisasi pemerintah.
Pada Agustus 2026, Cisco juga memperbaiki CVE-2026-20349, kerentanan Denial of Service lainnya yang memengaruhi ASA dan FTD.
Kerentanan tersebut memungkinkan penyerang menyebabkan perangkat mengalami crash melalui layanan VPN tertentu.
Rangkaian insiden ini menunjukkan bahwa firewall dan VPN gateway terus menjadi target menarik karena sering berada pada perimeter jaringan perusahaan.
Berbeda dari server aplikasi biasa, gangguan pada firewall dapat memengaruhi banyak pengguna dan layanan sekaligus.
Administrator Firewall Diminta Segera Melakukan Pembaruan
Dengan adanya konfirmasi eksploitasi aktif, organisasi yang menggunakan Cisco ASA dan FTD disarankan segera memeriksa versi software serta konfigurasi SSL VPN mereka.
Prioritas utama diberikan kepada perangkat yang menjalankan versi rentan dan menyediakan layanan Remote Access SSL VPN melalui internet.
Administrator perlu memastikan apakah secondary authentication digunakan pada tunnel group yang terdampak, termasuk grup default.
Setelah itu, pembaruan keamanan perlu diterapkan sesuai rekomendasi Cisco dengan mempertimbangkan kompatibilitas dan prosedur operasional perangkat.
Pemantauan terhadap restart tidak terduga dan gangguan VPN juga dapat membantu mengidentifikasi aktivitas yang perlu diselidiki lebih lanjut.
CVE-2026-76418 menjadi pengingat bahwa serangan terhadap firewall tidak selalu bertujuan mencuri data atau mengambil alih perangkat.
Kemampuan menyebabkan gangguan layanan dari jarak jauh tanpa autentikasi saja sudah cukup untuk menimbulkan risiko serius terhadap ketersediaan jaringan perusahaan.
Karena eksploitasi telah dikonfirmasi, pembaruan software menjadi langkah terpenting untuk melindungi infrastruktur Cisco ASA dan FTD dari serangan tersebut.
Sumber: Cisco — Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability
