CVE-2026-20349 in Cisco ASA und FTD legt Remote-Access-VPN lahm

Cisco hat die aktive Ausnutzung der Schwachstelle CVE-2026-20349 (CVSS 8.6) in den Produkten Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) bestätigt. Die Schwachstelle ermöglicht es einem nicht authentifizierten entfernten Angreifer, durch das Senden einer speziell präparierten HTTP-Anfrage an den Remote Access SSL VPN-Dienst einen Neustart des Geräts – und infolgedessen einen Denial of Service – auszulösen. Es existieren keine Workarounds; die einzige Maßnahme ist die Installation der Updates. CISA hat die Schwachstelle in den Katalog Known Exploited Vulnerabilities aufgenommen und damit US-Bundesbehörden verpflichtet, sie bis zum 14. August 2026 zu beheben.

Technischer Kern der Schwachstelle

Die eigentliche Ursache ist eine unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen in den VPN-Komponenten. Laut dem offiziellen Cisco-Bulletin sendet der Angreifer eine speziell präparierte HTTP-Anfrage an den Remote Access SSL VPN-Dienst auf einem verwundbaren Gerät. Eine erfolgreiche Ausnutzung führt zu einem Neustart (reload) des Geräts, was während des Reboots einen vollständigen Verlust der Netzwerkkonnektivität bedeutet.

Besonders kritisch: Für die Ausnutzung ist keine Authentifizierung erforderlich. Der Angriff erfolgt aus der Ferne über das Netzwerk, was diese Schwachstelle in Kombination mit der CVSS-Bewertung von 8.6 in die Kategorie „hoch kritisch“ einordnet. Ein Gerät ist verwundbar, wenn mindestens eine der folgenden Konfigurationen aktiviert ist:

• IKEv2 Remote Access VPN mit Client-Services – Konfiguration crypto ikev2 enable <interface_name> client-services port <port_numbers>
• SSL VPN – Konfiguration webvpn enable <interface_name>
• Zero Trust Network Access – Konfiguration zero-trust enable

Alle drei Konfigurationen sind typisch für Organisationen, die ihren Mitarbeitenden Remotezugriff bereitstellen, was die Angriffsfläche erheblich vergrößert.

Betroffene Versionen und Sicherheitsupdates

Cisco ASA

• ASA 9.16 — behoben in 9.16.4.50
• ASA 9.18 — behoben in 9.18.4.50
• ASA 9.20 — behoben in 9.20.4.235
• ASA 9.22 — behoben in 9.22.3.191
• ASA 9.23 — behoben in 9.23.1.211
• ASA 9.24 — behoben in 9.24.1.221

Hinweis: In einigen Veröffentlichungen enthalten die Versionsnummern von ASA 9.16 und 9.18 Tippfehler. Es wird empfohlen, die exakten Nummern der behobenen Versionen direkt mit dem Bulletin des Herstellers abzugleichen.

Cisco FTD

Für FTD wurden die Korrekturen in Form von Hotfixes für jede Hardwareplattform veröffentlicht:

• FTD 7.0 — Hotfixes der Version 7.0.9.1-1
• FTD 7.2 — Hotfixes der Version 7.2.11.1-2
• FTD 7.4 — Hotfixes der Version 7.4.7.1-1
• FTD 7.6 — Hotfixes der Version 7.6.4.1-2
• FTD 7.7 — Hotfixes der Version 7.7.11.1-2
• FTD 10.0 — Hotfixes der Version 10.0.0.1-2

Für jeden FTD-Zweig existieren separate Hotfix-Dateien für die Plattformen Firepower 1000, 2000, 3000, Secure Firewall TD 200, 1200, 4200 und 6100. Die vollständige Liste der Dateien ist im Cisco-Bulletin verfügbar.

Bewertung der Auswirkungen

Das potenzielle Ausmaß der betroffenen Infrastruktur ist enorm. Cisco ASA und FTD gehören zu den am weitesten verbreiteten Firewalls der Enterprise-Klasse weltweit. SSL VPN- und IKEv2 Remote Access VPN-Konfigurationen werden intensiv zur Bereitstellung von Remotezugriff genutzt, insbesondere in Organisationen mit Hybridarbeitsmodell.

Obwohl die Schwachstelle als Denial of Service und nicht als Remote Code Execution klassifiziert ist, sollten ihre Auswirkungen nicht unterschätzt werden. Ein Neustart der Perimeter-Firewall bedeutet:

• Vollständigen Verlust der Netzwerkkonnektivität für alle VPN-Nutzer während des Reboots
• Die Möglichkeit wiederholter Ausnutzung, um einen lang anhaltenden Denial of Service aufrechtzuerhalten
• Ein mögliches Ausnutzen des DoS als Ablenkungsmanöver für parallele Angriffe auf andere Infrastrukturbestandteile

Cisco teilte mit, dass es Anfang August 2026 eine aktive Ausnutzung festgestellt hat. Die Schwachstelle wurde im Rahmen interner Sicherheitstests entdeckt; unabhängig davon wurde sie auch vom Forscher Valerio Brussani gefunden und gemeldet. Einzelheiten zu Angreifern, Zielen der Angriffe und deren Erfolgsquote sind derzeit nicht offengelegt.

Regulatorischer Kontext

Am 11. August 2026 hat CISA CVE-2026-20349 hinzugefügt zum Katalog Known Exploited Vulnerabilities. Dies verpflichtet alle Behörden des Federal Civilian Executive Branch (FCEB), die Patches bis zum 14. August 2026 anzuwenden – ein äußerst knapp bemessener Zeitraum von nur drei Tagen. Eine derart kurze Frist unterstreicht, wie ernst CISA die Bedrohung einschätzt.

Für Organisationen außerhalb des US-Bundessektors dient der KEV-Katalog als maßgeblicher Indikator für die Priorisierung: Wenn eine Schwachstelle in KEV aufgenommen wurde, wird sie von realen Angreifern ausgenutzt und erfordert sofortige Gegenmaßnahmen.

Empfehlungen zur Reaktion

• Ermitteln Sie umgehend die Betroffenheit: Überprüfen Sie die ASA- und FTD-Konfigurationen auf die Befehle webvpn enable, crypto ikev2 enable ... client-services oder zero-trust enable. Ist mindestens einer davon aktiv, ist das Gerät verwundbar.
• Installieren Sie die Updates mit höchster Priorität: Cisco hat für alle betroffenen Zweige Sicherheitsupdates veröffentlicht. Es existieren keine Workarounds – der Patch ist die einzige Schutzmaßnahme.
• Verwenden Sie für FTD die plattformspezifischen Hotfixes: Stellen Sie sicher, dass Sie die korrekte Hotfix-Datei für Ihre Hardwareplattform (FP1K, FP2K, FP3K, TD 200/1200/4200/6100) auswählen.
• Überwachen Sie Logdateien auf unerwartete Neustarts: Plötzliche Reloads von ASA-/FTD-Geräten, insbesondere in Korrelation mit eingehenden HTTP-Anfragen an VPN-Schnittstellen, können auf Exploitversuche hinweisen.
• Erwägen Sie eine temporäre Zugriffsbeschränkung: Beschränken Sie bis zur Installation des Patches, sofern mit den Geschäftsprozessen vereinbar, den Zugriff auf das VPN-Portal per IP-Adressen auf der Ebene der ACLs vorgelagerter Geräte.

Angesichts der bestätigten aktiven Ausnutzung, des Fehlens von Workarounds und der dreitägigen CISA-Frist sollte die Aktualisierung betroffener Cisco ASA- und FTD-Geräte für die Teams, die für die Perimetersicherheit verantwortlich sind, oberste Priorität haben. Die vollständige Liste der behobenen Versionen und Hotfix-Dateien ist im Cisco-Sicherheitsbulletin verfügbar; der Eintrag in der NVD enthält zusätzliche technische Referenzen.