O Cisco ASA e FTD enfrentam uma falha de inspeção de memória heap, rastreada como CVE-2026-20349, que derruba sessões VPN remotas sem exigir autenticação. A CISA incluiu a vulnerabilidade no catálogo Known Exploited Vulnerabilities (KEV) em 11 de agosto de 2026 e fixou prazo de mitigaçã(o) para 14 de agosto, um dos mais curtos possíveis, porque a exploração já foi confirmada em ataques reais. A falha afeta o serviço de Remote Access VPN SSL e o IKEv2 Remote Access VPN com client services e derruba o equipamento, gerando condição de negação de serviço (DoS) que corta o acesso remoto de toda a organização.
De acordo com a CISA, um atacante remoto não autenticado pode explorar a falha para provocar o reload inesperado do dispositivo. Como o alvo é justamente o gateway de VPN mais comum nas empresas, o impacto direto é a indisponibilidade do acesso remoto — e, em ambientes sem redundância, a queda de toda a comunicação entre filiais e matriz.
Como o ataque funciona
O problema é classificado como CWE-244, improper clearing of heap memory before release, chamado pela Cisco de heap inspection vulnerability. Na prática, dados sensíveis não são adequadamente limpos da memória heap antes de liberá-la, e o comportamento anômalo permite que tráfego remoto especialmente elaborado force o equipamento a reiniciar. Segundo a Cisco, o serviço afeto é exclusivamente o de VPN de acesso remoto: apenas instâncias com o SSL VPN habilitado em alguma interface ou com o IKEv2 Remote Access VPN configurado com client services estão expostas. O restante das funcionalidades de firewall não é afetado.
Versões afetadas e correção
A Cisco lançou hotfixes dedicados para cada linha de software. O advisory oficial lista as versões corrigidas para ASA e FTD.
| Produto | Versão | Hotfix |
|---|---|---|
| Cisco ASA | 9.16 | 89.16.4.50 |
| Cisco ASA | 9.18 | 89.18.4.50 |
| Cisco ASA | 9.20 | 9.20.4.235 |
| Cisco ASA | 9.22 | 9.22.3.191 |
| Cisco ASA | 9.23 | 9.23.1.211 |
| Cisco ASA | 9.24 | 9.24.1.221 |
| Cisco FTD | 7.0 | GC-7.0.9.1-1 |
| Cisco FTD | 7.2 | HM-7.2.11.1-2 |
| Cisco FTD | 7.4 | HK-7.4.7.1-1 |
| Cisco FTD | 7.6 | DD-7.6.4.1-2 |
| Cisco FTD | 7.7 | AN-7.7.11.1-2 |
| Cisco FTD | 10.0 | S-10.0.0.1-2 |
Quem não puder aplicar o hotfix de imediato deve restringir o acesso ao serviço de VPN, limitando os endereços de origem permitidos ou movendo o acesso remoto para outra plataforma até a correção. O requisito da CISA para órgãos federais americanos segue o BOD 26-04, que prioriza correções conforme o risco e exige triagem forense quando há suspeita de comprometimento — diretriz útil como referência para qualquer organização.
O que a exploração ativa significa
A entrada no KEV não é apenas um alerta: é a confirmação de uso real em ataques. Segundo a CISA, essas vulnerabilidades apresentam risco significativo para o ecossistema, e a agência exige mitigaçã(o) em apenas três dias úteis. Para empresas que dependem de VPN Cisco para trabalho remoto, o cenário mais provável é um ataque de indisponibilidade direcionado, sem necessidade de credenciais válidas. O impacto sobre resiliência operacional é imediato e independe de ransomware, embora a interrupção prolongada do acesso remoto possa servir de gargalo para outros vetores. Situações semelhantes já exigiram ação rápida neste ano, como no caso da falha VeloCloud com CVSS 10,0 sob ataque ativo.
Checklist de resposta
- Levantar todos os firewalls ASA e FTD com SSL VPN ou IKEv2 client services expostos na internet.
- Confirmar a versão de software em execução e localizar o hotfix correspondente na tabela acima.
- Aplicar o hotfix em janela emergencial, priorizando equipamentos de borda expostos.
- Se a correção não for viável hoje, restringir por ACL as origens que podem alcançar o serviço de VPN.
- Habilitar monitoramento de reloads inesperados e sessões VPN que falham em massa.
- Registrar evidências e executar triagem forense caso o equipamento já tenha reiniciado de forma anômala.
Falhas em plataformas de gestão usadas por toda a cadeia já demonstraram o mesmo padrão de urgência, como na credencial fixa no Cisco FMC que entrou no KEV. Manter inventário de versões e plano de hotfix emergencial é o que separa uma correção de rotina de uma interrupção prolongada de acesso remoto.