Seguir 
A Cisco divulgou uma vulnerabilidade de alta severidade no software Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD) que já está sendo explorada na prática. Registrada como CVE-2026-20349, a falha possui uma pontuação CVSS de 8.6 e permite que um atacante remoto não autenticado force um firewall afetado a reiniciar, resultando em uma condição de negação de serviço (DoS).
A questão de segurança é causada por uma verificação de erros insuficiente quando dispositivos Cisco processam solicitações HTTP especialmente forjadas através do serviço Remote Access SSL VPN. Nenhuma autenticação ou interação do usuário é necessária, tornando portais VPN expostos à internet alvos particularmente atraentes para interrupção.
A vulnerabilidade que impacta os produtos Secure Firewall Adaptive Security Appliance e FTD torna-se explorável quando funcionalidades específicas de acesso remoto habilitam soquetes de escuta SSL. Um ataque bem-sucedido pode reiniciar abruptamente o aparelho de segurança afetado, interrompendo a conectividade VPN e potencialmente interrompendo o acesso a redes e serviços críticos para os negócios.
O time de Resposta a Incidentes de Segurança de Produtos (PSIRT) da Cisco tomou conhecimento da exploração ativa em agosto de 2026. Após a confirmação dos ataques, a Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA adicionou a falha ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) e ordenou que agências civis federais dos EUA a remediem até 14 de agosto de 2026.
Análise do CVE-2026-20349
A vulnerabilidade reside na funcionalidade Remote Access SSL VPN implementada pelo software Cisco ASA e FTD. Cisco atribui o problema à verificação de erros inadequada ao processar solicitações HTTP enviadas para o serviço. Um atacante pode enviar remotamente uma solicitação especialmente formatada que desencadeia uma reinicialização inesperada do dispositivo.
Os detalhes mais importantes para CVE-2026-20349 são que a exploração não requer credenciais válidas nem a interação de um administrador ou usuário VPN. De acordo com o vetor CVSS da Cisco, o ataque pode ser conduzido remotamente pela rede, tem baixa complexidade de ataque, não requer privilégios e afeta principalmente a disponibilidade.
O CVE-2026-20349 afeta instalações do Cisco ASA ou FTD que executam software vulnerável quando pelo menos uma das seguintes configurações está habilitada:
- VPN de Acesso Remoto IKEv2 com serviços de cliente, configurado com crypto ikev2 enable <interface_name> client-services port <port_numbers>
- SSL VPN, configurado através de webvpn e enable <interface_name>
- Acesso à Rede de Confiança Zero, configurado com zero-trust enable em sistemas FTD suportados
O Acesso à Rede de Confiança Zero é relevante apenas para o software Secure FTD. O Cisco Secure Firewall Management Center (FMC) em si não é afetado pela vulnerabilidade.
Do ponto de vista de um atacante, a vulnerabilidade oferece uma maneira relativamente simples de interromper um dispositivo de segurança de borda. Como serviços VPN de acesso remoto são frequentemente expostos diretamente à internet por design, um adversário não precisa comprometer primeiro uma estação de trabalho interna ou adquirir credenciais VPN. Uma solicitação HTTP específica enviada diretamente para o serviço vulnerável pode ser suficiente para travar e reiniciar o aparelho.
A exploração repetida pode, portanto, interromper sessões VPN e temporariamente impedir que funcionários remotos, administradores ou usuários terceirizados alcancem recursos protegidos. Para organizações onde um dispositivo ASA ou FTD opera como um importante gateway de rede, reinicializações repetidas poderiam ter um impacto operacional mais amplo, ainda que a Cisco não tenha descrito a falha como possibilitadora de execução de código, roubo de informações ou comprometimento persistente do dispositivo.
A Cisco disse ter descoberto a vulnerabilidade durante testes internos de segurança. O pesquisador de segurança Valerio Brussani identificou e relatou o mesmo problema de forma independente à empresa. Cisco não divulgou quando qualquer uma das descobertas ocorreu originalmente, mas o aviso público foi liberado em 11 de agosto de 2026.
Nenhum PoC público para o CVE-2026-20349 foi identificado no aviso da Cisco ou nos dois relatórios citados na divulgação. No entanto, a exploração confirmada em campo demonstra que pelo menos um agente de ameaça já possui um método funcional para exploração da vulnerabilidade.
A Cisco também não forneceu informações sobre os atacantes, sua origem geográfica, organizações-alvo ou o alcance dos ataques bem-sucedidos. Portanto, os relatórios disponíveis não estabelecem se a atividade está associada a cibercrime, espionagem, hacktivismo ou escaneamento oportunista.
Atualmente, não há IOCs CVE-2026-20349 publicados pelo fornecedor especificamente relacionados à exploração observada. Isso aumenta a importância de monitoramento comportamental, telemetria de saúde de dispositivos, análise de solicitações HTTP e investigação de reinicializações inesperadas de firewalls em vez de depender apenas de hashes convencionais, endereços IP ou domínios.
Mitigação do CVE-2026-20349
A Cisco afirma que não existem soluções alternativas que abordem completamente a vulnerabilidade. Organizações executando configurações afetadas devem instalar os hotfixes fornecidos pelo fornecedor ou atualizar para uma versão de software corrigida o mais rapidamente possível.
Para Cisco ASA, hotfixes estão disponíveis para os seguintes ramos:
- ASA 9.16: 89.16.4.50
- ASA 9.18: 89.18.4.50
- ASA 9.20: 9.20.4.235
- ASA 9.22: 9.22.3.191
- ASA 9.23: 9.23.1.211
- ASA 9.24: 9.24.1.221
A Cisco observa que organizações que instalam os hotfixes da versão 9.16 ou 9.18 devem usar o ASDM 7.24.1.374, pois versões mais antigas do ASDM não reconhecem o novo formato de numeração de versão 89.x ASA.
A Cisco também lançou hotfixes específicos para ramos das versões Secure FTD 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. Como o pacote exato depende da versão do FTD e da plataforma do aparelho, os administradores devem usar o aviso de segurança da Cisco e o Software Checker para determinar a atualização apropriada para cada dispositivo.
A detecção do CVE-2026-20349 deve começar com a identificação de dispositivos ASA e FTD expostos, verificando suas versões de software e determinando se a funcionalidade Remote Access SSL VPN, serviços de cliente IKEv2 ou ZTNA está habilitada. Sistemas que atendem ambas as condições devem receber a prioridade máxima de remediação.
Para detectar atividade do CVE-2026-20349, os defensores devem investigar:
- Reinicializações inesperadas de ASA ou FTD sem manutenção administrativa correspondente
- Reinicializações repetidas de dispositivos ocorrendo logo após tráfego HTTP ou HTTPS de entrada
- Explosões anormais de solicitações contra interfaces de VPN de Acesso Remoto voltadas para a internet
- Picos de conexão ou solicitações malformadas imediatamente antes de um travamento do dispositivo
- Quedas repetidas de VPN originadas das mesmas fontes externas
- Alertas de disponibilidade envolvendo dispositivos ASA ou FTD normalmente saudáveis
Esses sinais não são provas definitivas de exploração. No entanto, quando aparecem em um dispositivo voltado para a internet e não corrigido, configurado com serviços VPN vulneráveis, organizações devem tratá-los como potencialmente suspeitos e correlacionar telemetria de firewall, VPN, rede e proxy a montante.
Dado que ataques confirmados já estão ocorrendo, a mitigação do CVE-2026-20349 não deve depender apenas de monitoramento. Aplicar o software corrigido da Cisco é a única maneira suportada pelo fornecedor de remediar completamente a vulnerabilidade.
As organizações também devem priorizar dispositivos de borda em relação a sistemas menos expostos durante correções de emergência. Portais VPN estão localizados diretamente no perímetro da rede e desempenham um papel crítico na disponibilidade, o que significa que uma exploração bem-sucedida pode interromper a conectividade remota mesmo sem comprometer a confidencialidade ou a integridade.
FAQ
O que é o CVE-2026-20349 e como ele funciona?
O CVE-2026-20349 é uma vulnerabilidade de denegação de serviço de alta severidade no serviço Remote Access SSL VPN do Cisco ASA e do software Secure FTD. A verificação de erros insuficiente ao processar solicitações HTTP permite que um atacante remoto não autenticado envie uma solicitação forjada que força um dispositivo afetado a reiniciar.
Quando o CVE-2026-20349 foi descoberto pela primeira vez?
A Cisco não divulgou publicamente a data original da descoberta. A empresa identificou o problema durante testes internos de segurança, enquanto o pesquisador de segurança Valerio Brussani o relatou de forma independente. A Cisco publicou seu aviso de segurança em 11 de agosto de 2026 e confirmou que o PSIRT tomou conhecimento da exploração ativa durante agosto.
Qual é o impacto do CVE-2026-20349 nos sistemas?
Uma exploração bem-sucedida força um dispositivo ASA ou FTD afetado a reiniciar, criando uma condição de DoS. Isso pode terminar sessões VPN ativas e interromper o acesso a redes e aplicativos que dependem do firewall ou do portal VPN para conectividade. A Cisco não indicou que a falha permite execução de código remoto ou roubo de dados.
O CVE-2026-20349 ainda pode me afetar em 2026?
Sim. Qualquer dispositivo Cisco ASA ou FTD não corrigido, executando uma versão de software vulnerável com uma das configurações de acesso remoto afetadas, pode permanecer exposto. O risco é imediato, pois a Cisco confirmou a exploração ativa, e a CISA adicionou a vulnerabilidade ao seu catálogo KEV.
Como posso me proteger do CVE-2026-20349?
Instale o hotfix apropriado para Cisco ASA ou FTD ou atualize para uma versão de software corrigida imediatamente. Cisco afirma que nenhuma solução alternativa aborda completamente a vulnerabilidade. Administradores também devem verificar quais dispositivos expõem a funcionalidade Remote Access SSL VPN e investigar reinicializações inexplicáveis de firewalls ou tráfego HTTP anormal direcionado a interfaces VPN.
