Cisco hat Sicherheitsupdates für CVE-2026-76418 veröffentlicht – eine Schwachstelle mit hoher Kritikalität (CVSS 8.6) in der Software Secure Firewall ASA und FTD, die nach Angaben des Unternehmens bereits von Angreifern ausgenutzt wird. Die Schwachstelle ermöglicht es einem nicht authentifizierten, entfernten Angreifer, die Firewall durch eine speziell gestaltete Anfrage an den Remote-Access-SSL-VPN-Dienst neu zu starten, was zu einem Denial of Service führt. Parallel dazu hat Cisco Talos die Aktivitäten der APT-Gruppe UAT-11473 offengelegt, die die kritische Schwachstelle CVE-2026-20127 (CVSS 10.0) in Cisco SD-WAN ausnutzt, um das spezialisierte Schadsoftware-Framework KeyDrift zu installieren. Administratoren von Cisco ASA/FTD mit aktiviertem SSL VPN und konfigurierter sekundärer Authentifizierung müssen umgehend Updates einspielen oder temporäre Mitigationsmaßnahmen umsetzen.
CVE-2026-76418: Technischer Kern und Ausnutzungsbedingungen
Dem Sicherheitshinweis von Cisco zufolge, der am 28. Oktober 2026 veröffentlicht wurde, wird die Schwachstelle durch logische Fehler bei der Verarbeitung von Anfragen verursacht, wenn in der Konfiguration der Tunnelgruppe eine sekundäre Authentifizierung (secondary authentication) eingerichtet ist. Ein Angreifer sendet beim Verbindungsaufbau zum Remote-Access-SSL-VPN eine speziell gestaltete Anfrage, die einen unvorhergesehenen Neustart des Geräts auslöst. Kritisch wichtig: Eine erfolgreiche VPN-Authentifizierung ist für die Ausnutzung nicht erforderlich – es genügt, dass der SSL-VPN-Dienst von außen erreichbar ist.
Ein Gerät ist verwundbar, wenn gleichzeitig drei Bedingungen erfüllt sind:
- Eine verwundbare Version von Cisco Secure Firewall ASA oder FTD ist installiert
- Der Remote-Access-SSL-VPN-Dienst ist aus dem Netzwerk erreichbar
- In den Geltungsbereich der Tunnelgruppe fällt eine konfigurierte sekundäre Authentifizierung
Cisco hebt einen wenig offensichtlichen Punkt besonders hervor: Selbst wenn der Parameter tunnel-group-list enable mit dem Befehl no tunnel-group-list enable deaktiviert ist, bleibt das Gerät verwundbar, wenn die Standardgruppe DefaultWEBVPNGroup eine sekundäre Authentifizierung verwendet. Administratoren sollten den Parameter secondary-authentication-server-group in allen Tunnelgruppen prüfen, einschließlich der DefaultWEBVPNGroup.
Cisco teilt mit, dass PSIRT im Oktober 2026 von der aktiven Ausnutzung von CVE-2026-76418 erfahren hat, ohne jedoch Details zu Angreifern, Umfang der Kampagne oder konkreten Opfern offenzulegen. Zum Zeitpunkt der Veröffentlichung lagen keine unabhängigen Bestätigungen der Ausnutzung vor.
Behobene Versionen und temporäre Maßnahmen
Updates sind für folgende Zweige verfügbar:
Cisco Secure Firewall ASA:
- 9.16 und früher – behoben in 9.16.4.104
- 9.18 – behoben in 9.18.4.96
- 9.20 – behoben in 9.20.4.50
- 9.22 – behoben in 9.22.3.200
- 9.23 – behoben in 9.23.1.48
- 9.24 – behoben in 9.24.1.27 und 9.24.10.1
Cisco Secure FTD:
- 7.0 und früher – behoben in 7.0.11
- 7.2 – behoben in 7.2.13
- 7.4 – behoben in 7.4.9
- 7.6 – behoben in 7.6.7
- 7.7 – behoben in 7.7.14
- 10.0 – behoben in 10.0.3
- 10.1 – behoben in 10.1.1
Cisco weist darauf hin, dass es für CVE-2026-76418 keinen vollwertigen Workaround gibt. Als temporäre Maßnahme bis zum Update wird empfohlen, entweder die Liste der Tunnelgruppen zu deaktivieren, sofern DefaultWEBVPNGroup keine sekundäre Authentifizierung verwendet, oder die sekundäre Authentifizierung in den betroffenen Tunnelgruppen zu deaktivieren. Das Unternehmen warnt, dass diese Maßnahmen das Sicherheitsniveau des Remote-Access-VPN senken und nur als vorübergehend betrachtet werden sollten.
UAT-11473 und das Framework KeyDrift: APT-Kampagne gegen SD-WAN
Parallel zur Veröffentlichung des Patches für CVE-2026-76418 hat Cisco Informationen über die Aktivitäten einer APT-Gruppe offengelegt, die als UAT-11473 verfolgt wird. Laut Analyse von Cisco Talos nutzte die Gruppe CVE-2026-20127 aus – eine kritische Schwachstelle zur Umgehung der Authentifizierung (CVSS 10.0, CWE-287) in Cisco Catalyst SD-WAN Controller, Manager und Validator. Diese Schwachstelle, die in der NVD registriert und bereits am 25. Februar 2026 in den CISA-KEV-Katalog aufgenommen wurde, betrifft alle Bereitstellungstypen – sowohl On-Premises als auch von Cisco gehostete Cloud-Deployments – unabhängig von der Gerätekonfiguration. Wir haben bereits über Schwachstellen in Cisco SD-WAN berichtet, und die aktuelle Offenlegung bestätigt das anhaltende Interesse fortgeschrittener Gruppen an dieser Infrastruktur.
Nach erfolgreicher Ausnutzung von CVE-2026-20127 installierten die Angreifer das spezialisierte Schadsoftware-Framework KeyDrift, das aus mehreren Komponenten besteht, darunter PolyFlame und LittleFilch. Nach Angaben von Talos arbeitet das Framework direkt innerhalb der Prozesse der Steuerungsebene (Control Plane) von SD-WAN und ist in der Lage:
- entschlüsselten Steuerungsverkehr abzufangen
- Metadaten von Steuersitzungen und kryptografisches Material der Datenebene zu extrahieren
- gesammelte Daten mithilfe verschlüsselter Einträge aufzubereiten und zu übertragen
Talos stellt fest, dass in den analysierten PolyFlame-Samples keine hart kodierten IP-Adressen, Callback-Domains, URLs oder Binding-Ports gefunden wurden. Dies erschwert die Erkennung anhand netzwerkbasierter Indikatoren einer Kompromittierung erheblich und macht die Telemetrie der Prozesse und der Steuerungsebene zur Schlüsseloberfläche für die Detektion.
Talos ordnete die Aktivitäten von KeyDrift Techniken aus MITRE ATT&CK zu: T1055.008 (Process Injection), T1574.006 (Hijack Execution Flow: DLL Search Order Hijacking), T1040 (Network Sniffing), T1573.001 (Encrypted Channel), T1027.002 (Obfuscated Files or Information), T1497.001 (Virtualization/Sandbox Evasion) und weitere.
Attribution und Zielsektoren
Nach Angaben von Talos zielt UAT-11473 auf Organisationen in den Sektoren Raumfahrt- und Satellitendienste, Verteidigungs- und Luft- und Raumfahrttechnologien sowie politikwissenschaftliche Forschung. Talos bewertet mit hoher Zuversicht, dass sich die Infrastruktur von UAT-11473 erheblich mit dem verdeckten Zugangsnetz Silent Train überschneidet, das mit der Gruppe Volt Typhoon in Verbindung gebracht wird. Es sei betont: Dabei handelt es sich um eine Einschätzung zur Überschneidung der Infrastruktur, nicht um einen Beweis für die Identität der beiden Gruppen. In den verfügbaren Materialien liegen keine unabhängigen Bestätigungen dieser Attribution vor.
Auswirkungsbewertung
Die Kombination der beiden offengelegten Probleme ergibt ein ernstes Bedrohungsbild für Organisationen, die Netzwerkinfrastruktur von Cisco einsetzen. CVE-2026-76418 stellt eine unmittelbare Verfügbarkeitsbedrohung für jede Organisation mit ASA/FTD-basiertem SSL VPN und sekundärer Authentifizierung dar – eine typische Konfiguration für Unternehmen mit erhöhten Sicherheitsanforderungen an den Remote-Zugriff. Dass für die Ausnutzung keine Authentifizierung erforderlich ist, macht den Angriff trivial zugänglich.
CVE-2026-20127 birgt eine strategische Bedrohung: Die vollständige Umgehung der Authentifizierung in SD-WAN-Controllern ebnet den Weg zur Kompromittierung des gesamten softwaredefinierten Netzwerks, und das Framework KeyDrift gewährleistet eine langfristige, verdeckte Präsenz mit automatisierter Exfiltration kryptografischen Materials.
Empfehlungen
Für CVE-2026-76418: Aktualisieren Sie ASA und FTD umgehend auf die behobenen Versionen. Falls ein Update in den nächsten Stunden nicht möglich ist – deaktivieren Sie die sekundäre Authentifizierung in den betroffenen Tunnelgruppen als temporäre Maßnahme und seien Sie sich des verringerten Sicherheitsniveaus des VPN bewusst. Prüfen Sie die Konfiguration von DefaultWEBVPNGroup auf das Vorhandensein des Parameters secondary-authentication-server-group.
Für CVE-2026-20127: Aktualisieren Sie Cisco Catalyst SD-WAN auf die behobenen Versionen (20.9.8.2, 20.12.5.3/20.12.6.1, 20.15.4.2 oder 20.18.2.1, abhängig vom Zweig). Angesichts der Art von KeyDrift – Betrieb innerhalb der Prozesse der Steuerungsebene ohne Netzwerkindikatoren – sollten Sie die Überwachung von Anomalien in den SD-WAN-Prozessen und der Control Plane priorisieren. Organisationen in den Zielsektoren (Raumfahrt, Verteidigung, Luft- und Raumfahrttechnologien) sollten eine rückwirkende Analyse der Aktivitäten auf SD-WAN-Controllern durchführen.
Beide Schwachstellen werden aktiv ausgenutzt, und das Einspielen der Updates duldet keinen Aufschub. Für CVE-2026-76418 hat der Schutz der Verfügbarkeit der VPN-Infrastruktur in den nächsten Stunden Priorität; für CVE-2026-20127 sind die Überprüfung der Integrität der SD-WAN-Controller und die Suche nach Spuren von KeyDrift entscheidend, insbesondere wenn das Update seit der ursprünglichen Offenlegung im Februar 2026 aufgeschoben wurde.
