[ Início ]

Foi divulgada uma vulnerabilidade de alta severidade, identificada como CVE-2026-20349, no serviço de Remote Access SSL VPN dos produtos Cisco Secure Firewall Adaptive Security Appliance (ASA), e Secure Firewall Threat Defense (FTD).

A falha pode ser explorada remotamente e sem autenticação, permitindo que um atacante envie uma requisição HTTP especialmente construída ao serviço vulnerável e provoque um reload inesperado do equipamento, resultando em uma condição de negação de serviço (DoS). A vulnerabilidade decorre de verificação insuficiente de erros durante o processamento de requisições HTTP.

O caso merece atenção especial porque não se trata apenas de uma vulnerabilidade teoricamente explorável. Em agosto de 2026, o Cisco Product Security Incident Response Team (PSIRT), confirmou estar ciente de exploração ativa da CVE-2026-20349.

A CISA também adicionou a vulnerabilidade ao catálogo Known Exploited Vulnerabilities (KEV), em 11 de agosto de 2026, estabelecendo 14 de agosto de 2026 como prazo de correção para os ativos abrangidos pelas determinações aplicáveis às agências civis federais dos Estados Unidos.

A vulnerabilidade foi identificada durante testes internos de segurança da própria Cisco e também reportada de forma independente pelo pesquisador Valerio Brussani (@val_brux). Está catalogada internamente pela Cisco sob o Bug ID CSCwv96220.

O que está vulnerável

A CVE-2026-20349 afeta equipamentos executando versões vulneráveis de:

• Cisco Secure Firewall ASA Software
• Cisco Secure Firewall Threat Defense, FTD, Software

Além de executar uma versão vulnerável, o equipamento precisa possuir pelo menos uma configuração que habilite os sockets SSL envolvidos no problema.

A Cisco identifica três situações principais:

1. IKEv2 Remote Access VPN com client services

crypto ikev2 enable <interface_name> client-services port <port_numbers>

2. SSL VPN

webvpn
 enable <interface_name>

3. Zero Trust Network Access, somente em FTD

zero-trust
 enable

No FTD, funcionalidades de Remote Access VPN também podem ser habilitadas por meio do Firewall Management Center (FMC), ou do Firewall Device Manager (FDM).

A Cisco confirma que o Secure Firewall Management Center (SFMC), não é afetado pela vulnerabilidade.

Como o ataque funciona

É importante mencionar, novamente, que o ataque não exige credenciais, interação do usuário ou privilégios previamente obtidos.

Um atacante com conectividade de rede até o serviço SSL vulnerável pode enviar uma requisição HTTP especialmente construída para o Remote Access SSL VPN. Devido à forma inadequada como determinadas condições de erro são tratadas, o equipamento pode sofrer um reload inesperado.

O resultado é uma condição de negação de serviço que pode interromper temporariamente o tráfego processado pelo firewall e conexões VPN dependentes do equipamento.

O vetor CVSS publicado pela Cisco é:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H

A pontuação base é 8.6, High. Para CVEs recém-publicados como este, é comum que o NVD ainda não tenha concluído sua própria avaliação CVSS, exibindo temporariamente apenas a pontuação fornecida pela CNA responsável, neste caso, a própria Cisco.

Embora a CISA utilize em seu catálogo KEV a denominação “Heap Inspection Vulnerability“, e o CVE esteja associado ao CWE-244, Improper Clearing of Heap Memory Before Release, o impacto publicamente documentado pela Cisco para esta vulnerabilidade é negação de serviço.

Não há impacto declarado sobre confidencialidade ou integridade.

Por que o risco operacional é relevante

Um CVSS de 8.6 formalmente classifica a vulnerabilidade como High, mas a situação operacional exige prioridade elevada por três fatores combinados:

1. A exploração pode ocorrer remotamente;
2. Não exige autenticação;
3. Existe exploração ativa confirmada.

Equipamentos ASA e FTD frequentemente ocupam posições críticas no perímetro das organizações. Em ambientes onde os serviços vulneráveis estão acessíveis pela Internet, uma exploração bem-sucedida pode provocar indisponibilidade do firewall e dos serviços que dele dependem.

Por isso, a exploração ativa é mais importante para a priorização operacional do que a simples discussão sobre a classificação High ou Critical do CVSS.

Até o momento (12 de agosto de 2026) não há uma pontuação EPSS publicada para a CVE-2026-20349. (Isso é comum para CVEs recém-publicadas;  o advisory da Cisco saiu em 11/08/2026, e o modelo EPSS do FIRST.org normalmente leva alguns dias para incorporar uma vulnerabilidade nova ao seu cálculo diário, mesmo quando ela já está no catálogo KEV da CISA).

Correções disponíveis

A Cisco publicou hotfixes específicos para as diferentes linhas  de software:

1. Cisco Secure Firewall ASA

Para hotfixes cujo número começa por 89, especificamente os releases 9.16 e 9.18, a Cisco orienta utilizar ASDM 7.24.1.374, pois versões anteriores do ASDM não reconhecem esse formato de numeração.

2. Cisco Secure Firewall FTD

A Cisco disponibilizou hotfixes específicos para:

• 7.0
• 7.2
• 7.4
• 7.6
• 7.7
• 10.0

Existem pacotes diferentes conforme a plataforma de hardware, portanto a seleção do arquivo deve ser feita de acordo com o equipamento e a versão efetivamente instalada.

A Cisco também disponibiliza o Cisco Software Checker, que permite verificar a exposição de uma versão específica e identificar a primeira versão corrigida aplicável ao produto.

Não há workaround

A Cisco declara explicitamente que não existem workarounds que corrijam esta vulnerabilidade.

A recomendação expressa do fabricante é atualizar para uma versão corrigida ou instalar o hotfix correspondente.

Caso uma funcionalidade vulnerável não seja necessária operacionalmente, sua desativação pode reduzir a superfície de exposição. Entretanto, isso não deve ser tratado como substituto para a instalação da correção indicada pelo fabricante.

Ações recomendadas

1. Identificar imediatamente os equipamentos afetados

Inventariar todos os equipamentos Cisco ASA e FTD e registrar:

• modelo;
• versão instalada;
• exposição externa;
• serviços de Remote Access VPN habilitados;
• papel operacional do equipamento;
• existência de redundância ou HA.

A versão pode ser verificada por meio de:

show version

Para ASA, verificar especialmente configurações relacionadas a:

show running-config webvpn

e:

show running-config crypto ikev2

Em FTD, verificar as configurações de Remote Access VPN por meio do FMC ou FDM, conforme a arquitetura utilizada. As configurações que habilitam os serviços vulneráveis estão documentadas no Advisory da Cisco.

2. Priorizar equipamentos expostos à Internet

A prioridade deve ser máxima para equipamentos que simultaneamente:

• executem versões vulneráveis;
• possuam um dos serviços afetados habilitado;
• possam ser alcançados a partir da Internet;
• estejam posicionados em pontos críticos da infraestrutura.

A CISA classifica a exploração como ativa, e considera a vulnerabilidade como “automatizável” em sua avaliação SSVC.

3. Aplicar o hotfix ou atualizar o software

Utilizar o Advisory da Cisco e o Cisco Software Checker para determinar exatamente qual hotfix ou release corrigido deve ser implantado em cada plataforma.

Em ambientes com alta disponibilidade, avaliar uma estratégia de atualização que preserve, na medida do possível, a continuidade do serviço durante a manutenção.

4. Investigar reloads inesperados

Como o resultado conhecido da exploração é um reload do equipamento, eventos de reinicialização sem causa operacional conhecida merecem investigação.

Preservar e analisar, quando disponíveis:

• crashinfo;
• logs de sistema;
• registros de reload;
• telemetria do firewall;
• registros externos de syslog;
• eventos correlacionados em SIEM/XDR;
• tráfego ou registros HTTP relacionados ao serviço de Remote Access VPN.

A ausência de reloads anômalos não demonstra que não houve tentativas de exploração, mas eventos desse tipo podem fornecer evidências relevantes para investigação.

5. Monitorar tentativas de exploração

O Advisory da Cisco relaciona as Snort Rules 46897 e 59654 como recursos associados à vulnerabilidade. Organizações que utilizam Snort ou tecnologias Cisco compatíveis devem verificar a aplicabilidade dessas assinaturas em seus ambientes.

Avaliação

A CVE-2026-20349 é um exemplo importante de por que a priorização de vulnerabilidades não deve depender exclusivamente do valor numérico do CVSS.

O CVSS é 8.6, portanto formalmente “High“. O risco operacional, porém, aumentou substancialmente no momento em que a exploração deixou de ser uma possibilidade teórica e passou a ser observada em ambientes reais.

Em dispositivos de perímetro, especialmente firewalls e concentradores VPN, disponibilidade também é uma propriedade de segurança essencial. Derrubar repetidamente um equipamento que concentra conectividade externa, túneis VPN ou fluxos críticos pode produzir consequências operacionais muito superiores àquilo que o número isolado do CVSS sugere.

Com exploração ativa confirmada, acesso remoto não autenticado, ausência de workaround e correções já disponibilizadas pelo fabricante, a recomendação é tratar a CVE-2026-20349 como prioridade imediata de correção.

Referências

1. Cisco Security Advisory. Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Denial of Service Vulnerability, Advisory ID cisco-sa-asaftd-vpn-dos-dzv4mQFF, Cisco Bug ID CSCwv96220, publicado em 11 de agosto de 2026.
2. CISA, Known Exploited Vulnerabilities Catalog. CVE-2026-20349, adicionada em 11 de agosto de 2026.
3. NIST National Vulnerability Database, CVE-2026-20349. https//nvd.nist.gov/vuln/detail/CVE-2026-20349
4. CVE Program, CVE-2026-20349. https://www.cve.org/CVERecord?id=CVE-2026-20349
5. Cisco Software Checker (ferramenta para verificação de exposição por versão). https://sec.cloudapps.cisco.com/security/center/softwarechecker.x