Segui 
Cisco ha divulgato una vulnerabilità ad alta gravità nel software Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD) che è già sfruttata in natura. Tracciata come CVE-2026-20349, la falla porta un punteggio CVSS di 8.6 e consente a un attaccante remoto non autenticato di forzare il riavvio di un firewall compromesso, risultando in una condizione di denial-of-service (DoS).
Il problema di sicurezza è causato da un controllo errori insufficiente quando i dispositivi Cisco elaborano richieste HTTP appositamente create attraverso il servizio SSL VPN di accesso remoto. Non è richiesta alcuna autenticazione o interazione dell’utente, rendendo i gateway VPN esposti a internet obiettivi particolarmente attraenti per le interruzioni.
La vulnerabilità che colpisce i prodotti Secure Firewall Adaptive Security Appliance e FTD diventa sfruttabile quando la funzionalità di accesso remoto specifica abilita i socket di ascolto SSL. Un attacco riuscito può riavviare improvvisamente l’appliance di sicurezza colpita, interrompendo la connettività VPN e potenzialmente disturbando l’accesso a reti e servizi critici per il business.
Il Team di Risposta agli Incidenti di Sicurezza dei Prodotti di Cisco (PSIRT) è venuto a conoscenza dello sfruttamento attivo nel mese di agosto 2026. Dopo la conferma degli attacchi, l’Agenzia per la Sicurezza Cibernetica e delle Infrastrutture degli Stati Uniti (CISA) ha aggiunto la falla al suo catalogo di Vulnerabilità Sfruttate Conosciute (KEV) e ha ordinato alle agenzie federali civili degli Stati Uniti di correggerla entro il 14 agosto 2026.
Analisi CVE-2026-20349
La vulnerabilità risiede nella funzionalità SSL VPN di accesso remoto implementata dal software Cisco ASA e FTD. Cisco attribuisce il problema a un controllo errori inadeguato durante l’elaborazione delle richieste HTTP inviate al servizio. Un attaccante può inviare da remoto una richiesta appositamente creata che innesca un riavvio inaspettato del dispositivo.
I dettagli più importanti per CVE-2026-20349 sono che lo sfruttamento non richiede credenziali valide né l’interazione da parte di un amministratore o di un utente VPN. Secondo il vettore CVSS di Cisco, l’attacco può essere condotto da remoto sulla rete, ha bassa complessità di attacco, non richiede privilegi e colpisce principalmente la disponibilità.
CVE-2026-20349 colpisce le installazioni Cisco ASA o FTD che eseguono software vulnerabile quando è abilitata almeno una delle seguenti configurazioni:
- IKEv2 Remote Access VPN con servizi client, configurato con crypto ikev2 enable <interface_name> client-services port <port_numbers>
- SSL VPN, configurato tramite webvpn e enable <interface_name>
- Accesso al Network Zero Trust, configurato con zero-trust enable su sistemi FTD supportati
L’Accesso al Network Zero Trust è rilevante solo per il Software Secure FTD. Cisco Secure Firewall Management Center (FMC) stesso non è influenzato dalla vulnerabilità.
Dal punto di vista di un attaccante, la vulnerabilità offre un modo relativamente semplice per disturbare un’appliance di sicurezza di frontiera. Poiché i servizi VPN di accesso remoto sono frequentemente esposti direttamente a internet per design, un avversario non ha bisogno di compromettere prima una workstation interna o acquisire credenziali VPN. Una richiesta HTTP appositamente creata inviata direttamente al servizio vulnerabile può essere sufficiente a far crashare e ricaricare l’appliance.
Sfruttamenti ripetuti potrebbero quindi interrompere le sessioni VPN e impedire temporaneamente a dipendenti remoti, amministratori o utenti terzi di accedere a risorse protette. Per le organizzazioni in cui un’appliance ASA o FTD opera come gateway di rete importante, i riavvii ripetuti potrebbero avere un impatto operativo più ampio anche se Cisco non ha descritto la falla come capace di eseguire codice, rubare informazioni o compromettere permanentemente il dispositivo.
Cisco ha dichiarato di aver scoperto la vulnerabilità durante i test di sicurezza interni. Il ricercatore di sicurezza Valerio Brussani ha identificato e segnalato indipendentemente lo stesso problema alla società. Cisco non ha divulgato quando si è verificata in origine la scoperta, ma l’avviso pubblico è stato rilasciato l’11 agosto 2026.
Nell’avviso di Cisco o nei due rapporti citati al momento della divulgazione non è stato identificato alcun PoC pubblico CVE-2026-20349. Tuttavia, lo sfruttamento confermato in natura dimostra che almeno un attore ha già un metodo funzionante per lo sfruttamento della vulnerabilità.
Cisco non ha fornito informazioni sugli attaccanti, la loro origine geografica, le organizzazioni mirate o la portata degli attacchi riusciti. La segnalazione disponibile non determina quindi se l’attività è associata a crimini informatici, spionaggio, hactivismo o scansioni opportunistiche.
Attualmente non ci sono IOCs CVE-2026-20349 pubblicati dal fornitore specificamente legati allo sfruttamento osservato. Questo aumenta l’importanza del monitoraggio comportamentale, della telemetria della salute del dispositivo, dell’analisi delle richieste HTTP e dell’indagine sui riavvii inaspettati del firewall piuttosto che fare affidamento solo su hash convenzionali, indirizzi IP o domini.
Mitigazione CVE-2026-20349
Cisco afferma che non esistono soluzioni alternative che indirizzano completamente la vulnerabilità. Le organizzazioni che eseguono configurazioni colpite dovrebbero installare le correzioni rapide fornite dal fornitore o aggiornare a una versione software corretta il più presto possibile.
Per Cisco ASA, le correzioni rapide sono disponibili per le seguenti branch:
- ASA 9.16: 89.16.4.50
- ASA 9.18: 89.18.4.50
- ASA 9.20: 9.20.4.235
- ASA 9.22: 9.22.3.191
- ASA 9.23: 9.23.1.211
- ASA 9.24: 9.24.1.221
Cisco osserva che le organizzazioni che installano le correzioni rapide 9.16 o 9.18 dovrebbero utilizzare ASDM 7.24.1.374 poiché le versioni precedenti di ASDM non riconoscono il nuovo formato di numerazione delle release ASA 89.x.
Cisco ha anche rilasciato correzioni rapide specifiche per le branch per le versioni Secure FTD 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. Poiché il pacchetto esatto dipende dalla release FTD e dalla piattaforma dell’appliance, gli amministratori dovrebbero utilizzare l’avviso di sicurezza di Cisco e il Software Checker per determinare l’aggiornamento appropriato per ogni dispositivo.
Il rilevamento di CVE-2026-20349 dovrebbe iniziare con l’identificazione delle appliance ASA e FTD esposte, la verifica delle loro versioni software e la determinazione se la funzionalità SSL VPN di accesso remoto, i servizi client IKEv2 o la funzionalità ZTNA siano abilitati. I sistemi che soddisfano entrambe le condizioni dovrebbero ricevere la massima priorità di rimedio.
Per rilevare attività CVE-2026-20349, i difensori dovrebbero indagare:
- Riavvii ASA o FTD inaspettati senza una corrispondente manutenzione amministrativa
- Riavvii ripetuti del dispositivo che si verificano poco dopo il traffico HTTP o HTTPS in entrata
- Un numero anomalo di richieste contro le interfacce VPN di accesso remoto rivolte a internet
- Picchi di connessione o richieste malformate immediatamente prima di un crash del dispositivo
- Interruzioni VPN ripetute provenienti dalle stesse fonti esterne
- Avvisi di disponibilità che coinvolgono appliance ASA o FTD altrimenti sani
Questi segnali non sono prove definitive di sfruttamento. Tuttavia, quando appaiono su un dispositivo esposto a internet non patchato configurato con servizi VPN vulnerabili, le organizzazioni dovrebbero considerarli potenzialmente sospetti e correlare la telemetria di firewall, VPN, rete e proxy upstream.
Poiché gli attacchi confermati stanno già avvenendo, la mitigazione di CVE-2026-20349 non dovrebbe basarsi esclusivamente sul monitoraggio. Applicare il software corretto di Cisco è l’unico modo supportato dal fornitore per mitigare completamente la vulnerabilità.
Le organizzazioni dovrebbero anche dare priorità alle appliance di frontiera rispetto ai sistemi meno esposti durante le patch di emergenza. I gateway VPN si trovano direttamente sul perimetro della rete e svolgono un ruolo critico nella disponibilità, il che significa che uno sfruttamento riuscito può interrompere la connettività remota anche senza compromettere la riservatezza o l’integrità.
FAQ
Che cos’è CVE-2026-20349 e come funziona?
CVE-2026-20349 è una vulnerabilità ad alta gravità di denial-of-service nel servizio SSL VPN di accesso remoto del software Cisco ASA e Secure FTD. Il controllo errori insufficiente durante l’elaborazione delle richieste HTTP consente a un attaccante remoto non autenticato di inviare una richiesta appositamente creata che forza il riavvio di un dispositivo compromesso.
Quando è stata scoperta per la prima volta CVE-2026-20349?
Cisco non ha divulgato pubblicamente la data originale della scoperta. La società ha identificato il problema durante test di sicurezza interni, mentre il ricercatore di sicurezza Valerio Brussani lo ha segnalato indipendentemente. Cisco ha pubblicato il suo avviso di sicurezza l’11 agosto 2026 e ha confermato che PSIRT era diventato consapevole dello sfruttamento attivo nel mese di agosto.
Qual è l’impatto di CVE-2026-20349 sui sistemi?
Lo sfruttamento riuscito forza il riavvio di un dispositivo ASA o FTD compromesso, creando una condizione di DoS. Questo può terminare le sessioni VPN attive e interrompere l’accesso a reti e applicazioni che dipendono dal firewall o dal gateway VPN per la connettività. Cisco non ha indicato che la falla consenta l’esecuzione remota di codice o il furto di dati.
CVE-2026-20349 può ancora colpirmi nel 2026?
Sì. Qualsiasi appliance Cisco ASA o FTD non patchata che esegue una release software vulnerabile con una delle configurazioni di accesso remoto interessate può rimanere esposta. Il rischio è immediato perché Cisco ha confermato lo sfruttamento attivo e CISA ha aggiunto la vulnerabilità al proprio catalogo KEV.
Come posso proteggermi da CVE-2026-20349?
Installa immediatamente la correzione rapida Cisco ASA o FTD appropriata o esegui l’aggiornamento a una release software corretta. Cisco afferma che nessuna soluzione alternativa affronta completamente la vulnerabilità. Gli amministratori dovrebbero anche verificare quali dispositivi espongono la funzionalità SSL VPN di accesso remoto e indagare su riavvii inspiegabili del firewall o traffico HTTP anomalo che colpisce le interfacce VPN.
