Cisco ASA und FTD: CVE-2026-20349 wird aktiv für DoS-Angriffe ausgenutzt

Cisco hat eine seit August 2026 aktiv ausgenutzte Schwachstelle in der Secure Firewall ASA und FTD Software bestätigt. Betroffen ist der Remote-Access-SSL-VPN-Dienst: Ein Angreifer kann ohne Authentifizierung per präparierten HTTP-Request die Firewall zum Neustart zwingen und damit den VPN-Zugang unterbrechen. Wer eine ASA oder FTD-Appliance mit aktiviertem SSL-VPN, IKEv2-Remote-Access oder Zero Trust Network Access betreibt, sollte den Patchstand noch heute prüfen. Für Umgebungen ohne diese Dienste besteht keine unmittelbare Handlungspflicht, ein Update ist trotzdem empfehlenswert.

Was ist passiert?

Die Schwachstelle CVE-2026-20349 betrifft den Remote-Access-SSL-VPN-Dienst von Cisco Secure Firewall ASA und Threat Defense (FTD) Software. Sie wurde von Cisco selbst während interner Sicherheitstests entdeckt und zusätzlich von einem externen Forscher gemeldet. Cisco bestätigt aktive Ausnutzung seit August 2026, Details zu den beobachteten Angriffen hält der Hersteller bislang zurück. Die Lücke wurde in den CISA Known Exploited Vulnerabilities Catalog aufgenommen, mit einer Frist zur Behebung für US-Bundesbehörden bis zum 14. August 2026.

Wer ist betroffen?

Verwundbar sind ASA- und FTD-Appliances, auf denen eine der folgenden Funktionen aktiv ist und die SSL-Listen-Sockets offen sind:

1. IKEv2 Remote Access VPN mit Client Services
2. SSL VPN (Remote Access)
3. Zero Trust Network Access (ZTNA)

Betroffene ASA-Versionen sind 9.16, 9.18, 9.20, 9.22, 9.23 und 9.24. Bei FTD betrifft es die Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Wer ausschließlich Site-to-Site-VPN ohne Remote-Access-SSL-Dienste betreibt oder eine nicht gelistete Version fährt, ist nach aktuellem Kenntnisstand nicht betroffen. Der Angriff erfordert keine Authentifizierung und keine Nutzerinteraktion.

Wie kritisch ist das?

Cisco stuft die Lücke als hochgradig kritisch (High Severity) ein. Technisch handelt es sich um eine Denial-of-Service-Schwachstelle, keine Remote Code Execution: Ein erfolgreicher Angriff führt zum unerwarteten Neustart der Appliance, nicht zur Übernahme des Geräts. Da Firewalls und VPN-Gateways aber häufig zentrale Netzwerkübergänge sind, kann ein wiederholter erzwungener Neustart den VPN-Zugang für Mitarbeitende und Partner über längere Zeit lahmlegen. Es gibt keine bekannten Workarounds, ein Patch ist derzeit die einzige Abhilfe.

Was sollten Admins jetzt tun?

1. ASA- und FTD-Versionen im eigenen Bestand prüfen und mit der Liste betroffener Versionen abgleichen
2. Cisco Security Advisory zu CVE-2026-20349 im eigenen Cisco-Account aufrufen und die passenden Hotfixes für die eigene Version identifizieren
3. Hotfixes zeitnah einspielen, priorisiert bei Appliances mit aktivem SSL-VPN, IKEv2-Remote-Access oder ZTNA
4. Bis zum Patch die Erreichbarkeit der SSL-Listen-Sockets aus dem Internet überprüfen und wo möglich temporär einschränken
5. Monitoring auf unerwartete Neustarts der Firewall-Appliances einrichten, um Ausnutzungsversuche frühzeitig zu erkennen

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen mit eigener Cisco-ASA- oder FTD-Infrastruktur ist das ein klassischer Fall für ein kurzfristiges, aber planbares Wartungsfenster: kein akuter Datenabfluss, aber ein reales Risiko für die Verfügbarkeit des VPN-Zugangs. Wer Remote-Access-VPN für Homeoffice oder externe Dienstleister nutzt, sollte den Patch nicht auf die nächste reguaere Wartungsrunde verschieben, da die Lücke bereits aktiv ausgenutzt wird und ohne Authentifizierung erreichbar ist.

Passende Anleitungen auf S-EDV

1. CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist – erklärt, wie Admins den KEV-Katalog für die eigene Patch-Priorisierung nutzen.
2. Cisco Unified CM: SSRF-Lücke CVE-2026-20230 wird ausgenutzt – weiterer aktuell ausgenutzter Cisco-Fall zum Vergleich der Angriffsmuster.

Quellen

1. Help Net Security: Cisco fixes vulnerability exploited to DoS its firewalls (CVE-2026-20349)
2. NHS Digital Cyber Alert CC-4831: Cisco Secure Firewall ASA und FTD