A Cisco confirmou a CVE-2026-20349, uma vulnerabilidade de negação de serviço no SSL VPN do Cisco Secure Firewall ASA e FTD que permite a um atacante remoto e não autenticado forçar o reinício do equipamento e interromper o tráfego de rede. A CISA adicionou a falha ao catálogo Known Exploited Vulnerabilities em 11 de agosto de 2026, com prazo final de remediação em 14 de agosto — apenas três dias para aplicar o hotfix em ambientes críticos que mantêm acesso remoto exposto à internet.
Mecanismo de inspeção de heap
O registro no KEV classifica a falha como uma vulnerabilidade de heap inspection no software do ASA e do FTD. Um pacote especialmente construído, enviado contra uma interface com SSL VPN, IKEv2 Remote Access VPN com client services ou Zero Trust Network Access habilitados, faz o dispositivo recarregar de forma inesperada. O resultado é uma condição de negação de serviço que afeta diretamente as sessões legítimas de acesso remoto e qualquer tráfego que cruze o firewall durante o reinício.
O vetor é remoto e não exige credenciais, o que torna appliances expostos à internet alvos prioritários para ondas de exploração automatizada. A Cisco publicou o advisory cisco-sa-asaftd-vpn-dos-dzv4mQFF em 11 de agosto de 2026, orientando os administradores a instalar o hotfix correspondente a cada release suportada e, enquanto isso, restringir a exposição das interfaces de VPN à menor superfície possível por meio de listas de controle de acesso. A presença da entrada no catálogo do KEV indica que a falha já é explorada ativamente, e não apenas uma correção preventiva de rotina.
Versões e configurações afetadas
O escopo do problema cobre as principais linhas de firewall da Cisco ainda em campo, do ASA tradicional ao FTD gerenciado por Cisco Secure Firewall Manager. O quadro abaixo resume as configurações que tornam um appliance vulnerável, segundo o advisory oficial da Cisco:
| Recurso habilitado | Comando de configuração suscetível |
|---|---|
| SSL VPN | webvpn enable <interface> |
| IKEv2 Remote Access VPN (client services) | crypto ikev2 enable <interface> client-services port <porta> |
| Zero Trust Network Access | zero-trust enable |
As liberações do ASA da série 9.16 até a 9.24 recebem hotfixes dedicados, enquanto o FTD mantém pacotes separados para as versões 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0, com variantes específicas para os appliances FP1K, FP2K, FP3K e Secure Firewall 4200. Equipamentos que não tenham nenhuma dessas três funcionalidades habilitadas não estão no escopo da falha, mesmo que rodem uma release listada como afetada — o que ajuda a reduzir o universo de alvos em ambientes grandes.
Hotfixes mínimos por release
A remediação oficial é feita por hotfix pontual, e não por service pack ou upgrade de major version. A lista a seguir indica o hotfix mínimo seguro para as releases mais comuns encontradas em produção, conforme o advisory da Cisco:
- ASA 9.16: 9.16.4.50
- ASA 9.18: 9.18.4.50
- ASA 9.20: 9.20.4.235
- ASA 9.22: 9.22.3.191
- ASA 9.23: 9.23.1.211
- ASA 9.24: 9.24.1.221
- FTD 7.0: Hotfix GC-7.0.9.1-1
- FTD 7.2: Hotfix HM-7.2.11.1-2
- FTD 7.4: Hotfix HK-7.4.7.1-1
- FTD 7.6: Hotfix DD-7.6.4.1-2
- FTD 7.7: Hotfix AN-7.7.11.1-2
- FTD 10.0: Hotfix S-10.0.0.1-2
Para o FTD, cada release traz ainda tarballs distintos por modelo de hardware, o que exige atenção no momento do download para não aplicar o pacote errado ao appliance. Conferir o hash do arquivo e a compatibilidade com o chassi antes da instalação evita reinícios indevidos durante a própria janela de mudança.
Plano de ação em três dias
O prazo da CISA vence em 14 de agosto de 2026, três dias após a inclusão no KEV. A janela curta exige um plano objetivo, especialmente em ambientes com vários appliances distribuídos em filiais e datacenters. A sequência recomendada concentra esforço em identificar exposição, isolar e aplicar o hotfix sem interromper o negócio mais do que o necessário:
- Inventariar todos os ASA e FTD com
webvpn,crypto ikev2 enable ... client-servicesouzero-trust enableativos, conferindo a release exata de cada equipamento. - Verificar janelas de mudança e dependências, pois a aplicação do hotfix exige reinício controlado do serviço de VPN e pode derrubar sessões ativas.
- Baixar o hotfix correspondente à release e ao modelo de hardware diretamente do portal Cisco, conferindo o hash antes da instalação.
- Aplicar em laboratório primeiro quando possível, validando que sessões de VPN existentes são reestabelecidas após o reinício do serviço.
- Monitorar logs de ingress e de SSL VPN em busca de tentativas de exploração anteriores, como picos anômalos de conexão seguidos de reinícios não planejados do appliance.
- Restringir exposição: enquanto o hotfix não é aplicado, limitar o acesso às interfaces de VPN somente às faixas de IP corporativas por meio de listas de controle de acesso.
A CVE-2026-20349 entrou no mesmo lote de atualizações da CISA que a CVE-2026-72898 no Metabase e outras falhas com exploração ativa confirmada, conforme reunido na Análise Técnica do lote KEV de 3 falhas críticas: Cisco, Windows e Metabase entram no KEV. A diferença é que, no caso do Cisco ASA e FTD, o impacto principal é a indisponibilidade do firewall e do acesso remoto, e não roubo de dados ou elevação de privilégio — ainda assim suficiente para derrubar operações que dependem do SSL VPN corporativo em horário comercial.