Cisco: активно эксплуатируемая уязвимость ASA и FTD вызывает DoS
Cisco предупредила об активной эксплуатации уязвимости CVE-2026-20349 в Secure Firewall Adaptive Security Appliance (ASA) Software и Cisco Secure Firewall Threat Defense (FTD) Software. Ошибка получила оценку CVSS 8,6: удалённый неаутентифицированный атакующий может отправить специально сформированный HTTP-запрос и вызвать перезагрузку затронутого устройства, что приводит к отказу в обслуживании.
Проблема относится к недостаточной проверке ошибок при обработке HTTP-запросов. Атакующий должен направить запрос службе Remote Access SSL VPN на уязвимом устройстве. Cisco сообщила, что узнала об эксплуатации в начале августа; деталей о характере атак, исполнителях, целях и результатах пока нет.
Какие конфигурации затронуты
Риск возникает, если устройство с уязвимой версией ASA или FTD использует одну или несколько соответствующих конфигураций: IKEv2 Remote Access VPN с клиентскими сервисами, SSL VPN или Zero Trust Network Access2. В уведомлении Cisco перечислены IKEv2 client services, команда webvpn enable и настройка zero-trust enable.
В контексте уязвимостей Cisco тема уже фигурировала в уязвимостей Cisco, цепочек ClickFix и агентов ИИ, где собраны заметные инциденты и техники недели. В данном случае Cisco подчёркивает, что обходного решения для CVE-2026-20349 нет.
Обновления и действия администраторов
Исправления доступны для ASA 9.16.1, 9.18.1, 9.20, 9.22, 9.23 и 9.24. Для FTD Cisco выпустила отдельные hotfix-пакеты для веток 7.0, 7.2, 7.4, 7.6, 7.7 и 10.0 с учётом платформы устройства.
Уязвимость обнаружили во время внутреннего тестирования безопасности Cisco; отдельно её обнаружил и сообщил о ней Валерио Бруссани. Агентство CISA добавило CVE-2026-20349 в каталог Known Exploited Vulnerabilities и предписало федеральным гражданским ведомствам США применить исправления до 14 августа 2026 года.
Практический вывод
Организациям стоит инвентаризировать пограничные ASA и FTD, проверить версии ПО и включённые службы удалённого доступа, затем установить подходящий патч или hotfix из бюллетеня Cisco. Поскольку временной меры защиты нет, приоритет следует отдать системам, где доступны SSL VPN, IKEv2 client services или Zero Trust Network Access2.
CVE-2026-20349 в Cisco ASA и FTD: краткий чек-лист
Среди уязвимостей Cisco ASA, раскрытых в 2026 году, на этой странице разобрана CVE-2026-20349. При оценке риска важно одновременно проверить версию ПО и конфигурацию служб удалённого доступа.
Как определить приоритет обновления
Сначала установите, какие пограничные устройства используют ASA или FTD и включены ли на них затронутые функции. Приоритет следует отдать системам с уязвимой версией ПО и активными службами удалённого доступа.
- Зафиксируйте модель устройства, платформу и установленную версию ПО.
- Проверьте IKEv2 client services и наличие команды webvpn enable.
- Проверьте, используется ли настройка zero-trust enable.
- Сопоставьте ветку ПО с подходящим патчем или hotfix-пакетом.
Что проверить после установки исправления
После обновления убедитесь, что устройство работает штатно, а необходимые сценарии удалённого доступа доступны. Результат проверки стоит зафиксировать вместе с новой версией ПО и датой обновления.
- Подтвердите успешный запуск устройства после обновления.
- Проверьте работу используемых VPN- и ZTNA-сценариев.
- Убедитесь, что установлено исправление для нужной ветки и платформы.
- Сохраните сведения об обновлении в журнале изменений.
Почему нельзя ограничиваться временной мерой
Для CVE-2026-20349 обходное решение не заявлено. Поэтому проверка конфигурации помогает определить срочность, но не заменяет установку подходящего исправления Cisco для затронутого устройства.
Частые вопросы
Какая уязвимость Cisco ASA 2026 года рассматривается на странице?
Речь идёт о CVE-2026-20349, которая затрагивает определённые конфигурации Cisco Secure Firewall ASA и FTD и может вызвать удалённый отказ в обслуживании.
Какие настройки требуют особого внимания?
Следует проверить IKEv2 client services, SSL VPN с командой webvpn enable и Zero Trust Network Access с настройкой zero-trust enable.
Можно ли устранить риск без обновления?
Согласно приведённой информации, обходного решения для CVE-2026-20349 нет. Для затронутой ветки и платформы необходимо выбрать соответствующий патч или hotfix.
Уязвимость относится только к Cisco ASA?
Нет. На странице рассматриваются как Cisco Secure Firewall ASA Software, так и Cisco Secure Firewall Threat Defense Software.