Cisco: активно эксплуатируемая уязвимость ASA и FTD вызывает DoS
Cisco предупредила об активной эксплуатации уязвимости CVE-2026-20349 в Secure Firewall Adaptive Security Appliance (ASA) Software и Cisco Secure Firewall Threat Defense (FTD) Software. Ошибка получила оценку CVSS 8,6: удалённый неаутентифицированный атакующий может отправить специально сформированный HTTP-запрос и вызвать перезагрузку затронутого устройства, что приводит к отказу в обслуживании.
Проблема относится к недостаточной проверке ошибок при обработке HTTP-запросов. Атакующий должен направить запрос службе Remote Access SSL VPN на уязвимом устройстве. Cisco сообщила, что узнала об эксплуатации в начале августа; деталей о характере атак, исполнителях, целях и результатах пока нет.
Какие конфигурации затронуты
Риск возникает, если устройство с уязвимой версией ASA или FTD использует одну или несколько соответствующих конфигураций: IKEv2 Remote Access VPN с клиентскими сервисами, SSL VPN или Zero Trust Network Access2. В уведомлении Cisco перечислены IKEv2 client services, команда webvpn enable и настройка zero-trust enable.
В контексте уязвимостей Cisco тема уже фигурировала в уязвимостей Cisco, цепочек ClickFix и агентов ИИ, где собраны заметные инциденты и техники недели. В данном случае Cisco подчёркивает, что обходного решения для CVE-2026-20349 нет.
Обновления и действия администраторов
Исправления доступны для ASA 9.16.1, 9.18.1, 9.20, 9.22, 9.23 и 9.24. Для FTD Cisco выпустила отдельные hotfix-пакеты для веток 7.0, 7.2, 7.4, 7.6, 7.7 и 10.0 с учётом платформы устройства.
Уязвимость обнаружили во время внутреннего тестирования безопасности Cisco; отдельно её обнаружил и сообщил о ней Валерио Бруссани. Агентство CISA добавило CVE-2026-20349 в каталог Known Exploited Vulnerabilities и предписало федеральным гражданским ведомствам США применить исправления до 14 августа 2026 года.
Практический вывод
Организациям стоит инвентаризировать пограничные ASA и FTD, проверить версии ПО и включённые службы удалённого доступа, затем установить подходящий патч или hotfix из бюллетеня Cisco. Поскольку временной меры защиты нет, приоритет следует отдать системам, где доступны SSL VPN, IKEv2 client services или Zero Trust Network Access2.