Cisco hat eine Schwachstelle in seinen Secure-Firewall-Produkten geschlossen, über die unauthentifizierte Angreifer betroffene Geräte zum Neustart zwingen können. Die Lücke läuft unter CVE-2026-20349 beziehungsweise EUVD-2026-56643, trägt einen CVSS-Wert von 8.6 und betrifft den Remote-Access-SSL-VPN-Dienst in der Secure Firewall Adaptive Security Appliance (ASA) und der Secure Firewall Threat Defense (FTD).
Seit dem 11. August gilt sie als aktiv missbraucht. Am selben Tag hat die US-Behörde CISA sie in ihren KEV-Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgenommen. Wer noch überlegt, ob sich das Wartungsfenster lohnt: Es lohnt sich.
Eine HTTP-Anfrage genügt
Ursache ist eine unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen. Ein entfernter Angreifer braucht keine Zugangsdaten. Er schickt eine speziell präparierte Anfrage an den Remote-Access-SSL-VPN-Dienst, die Firewall startet unerwartet neu, und es entsteht ein Denial-of-Service-Zustand.
Das klingt nach weniger Schaden als eine Codeausführung, ist im Betrieb aber hässlich. Betroffen ist ausgerechnet das Gerät, über das deine Mitarbeiter ins Unternehmensnetz kommen. Wer den Angriff wiederholt, hält das VPN dauerhaft unten, und das ohne jede Anmeldung.
Wen es trifft
Anfällig sind Cisco ASA in den Versionen 9.16.x bis 9.24.x sowie FTD von 7.0 bis 10.0, allerdings nur, wenn eine der verwundbaren Konfigurationen aktiv ist. Dazu zählen laut Ciscos Advisory:
- IKEv2 Remote Access VPN mit aktivierten Client Services
- SSL VPN, also aktiviertes webvpn auf einem Interface
- Zero Trust Network Access
Ob deine konkrete Version betroffen ist, lässt sich über den Cisco Software Checker prüfen. Das ist der schnellere Weg als der Abgleich per Hand, weil die Versionsmatrix ziemlich breit ausfällt.
Hot Fixes einspielen
Cisco stellt Hot Fixes für alle betroffenen Versionen bereit, für ASA von 9.16.1 bis 9.24.1 und für FTD von 7.0 bis 10.0. Den Download findest du im Cisco Software Center.
Eine Stolperfalle steckt im Kleingedruckten: Für Hot Fixes, deren Bezeichnung mit "89" beginnt, brauchst du zusätzlich ASDM Release 7.24.1.374. Wer das übersieht, wundert sich hinterher über ein Gerät, das sich nicht mehr sauber verwalten lässt.
Kurz eingeordnet
Ein EPSS-Score ist für diese Lücke bislang nicht vergeben. Der spielt hier ohnehin eine untergeordnete Rolle, denn die Ausnutzung ist bereits belegt und die CISA hat entsprechend reagiert. Priorisier die betroffenen Geräte also nach Erreichbarkeit: Alles, was den SSL-VPN-Dienst offen ins Internet hängt, gehört zuerst drangenommen.