CVE-2026-20349: Cisco warnt vor aktiv ausgenutzter DoS-Lücke in ASA- und FTD-Firewalls

Cisco hat bestätigt, dass eine hochriskante Zero-Day-Sicherheitslücke in den Produkten Secure Firewall Adaptive Security Appliance (ASA) und Threat Defense (FTD) aktiv ausgenutzt wird. Das Unternehmen fordert alle Kunden auf, die Hotfixes sofort zu installieren – es gibt keinen Workaround .

Die Schwachstelle: CVE-2026-20349

Die Schwachstelle wird als CVE-2026-20349 geführt und hat einen CVSS-v3.1-Basiswert von 8,6 (Hoch) .

• Ursache: Unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen durch den Remote Access SSL VPN-Dienst .
• Angriffsvektor: Ein nicht authentifizierter, entfernter Angreifer sendet eine einzige präparierte HTTP-Anfrage an das betroffene Gerät .
• Auswirkung: Der Exploit erzwingt einen unerwarteten Geräteneustart, was zu einem Denial-of-Service (DoS) führt. Dadurch wird der VPN-Zugang für alle Remote-Benutzer unterbrochen und verbundene Netzwerkdienste werden gestört .

Für die Ausnutzung ist weder eine Benutzerinteraktion noch eine Authentifizierung erforderlich. Das Cisco Product Security Incident Response Team (PSIRT) wurde im August 2026 auf die aktive Ausnutzung aufmerksam .

Abhilfe: Sofort patchen, keine Workarounds

Cisco hat Hotfixes für die betroffenen Software-Versionen veröffentlicht. Es gibt keine Konfigurations-Workarounds – das Patchen ist die einzige Abhilfemaßnahme .

• ASA-Software: Versionen 9.16 bis 9.24
• FTD-Software: Versionen 7.0 bis 10.0

Alle Geräte, die diese Versionen mit aktiviertem Remote Access SSL VPN, SSL VPN, IKEv2 Remote Access VPN mit Client-Diensten oder Zero Trust Network Access ausführen, gelten als betroffen .

Reaktion der CISA und Frist für Bundesbehörden

Die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat CVE-2026-20349 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen . Gemäß dieser Anweisung müssen alle Behörden der US-Zivilverwaltung (FCEB) die Schwachstelle bis zum 14. August 2026 beheben .

Weiter gefasster Sicherheitskontext: Eine schwierige Zeit für Cisco-Firewall-Verteidiger

Diese Offenlegung erfolgt in einer besonders turbulenten Zeit für Cisco-Firewall-Geräte und die allgemeine Angriffsfläche.

September 2025: CISA-Notfallverordnung ED 25-03

Im September 2025 erließ die CISA die Notfallverordnung 25-03, nachdem eine Kampagne eines fortschrittlichen Bedrohungsakteurs Zero-Day-Sicherheitslücken (CVE-2025-20333, CVE-2025-20362) in Cisco ASA- und Firepower-Geräten ausgenutzt hatte. Die Kampagne hatte bereits mindestens 10 Organisationen kompromittiert und fast 50.000 Geräte potenziell verwundbar gemacht . Die Verordnung verpflichtete Bundesbehörden, kompromittierte Cisco-Geräte innerhalb von 24 Stunden zu identifizieren und zu entschärfen .

März 2026: Der LiteLLM-Supply-Chain-Angriff

Die Bedrohungsgruppe TeamPCP kompromittierte das Open-Source-KI-API-Gateway LiteLLM und legte möglicherweise über 2.500 Organisationen (darunter auch Cisco) sowie etwa 434.000 CI/CD-Pipelines offen – laut CloudSEK der größte KI-Lieferkettenangriff des Jahres 2026 . Die Angreifer erbeuteten innerhalb von 40 Minuten rund 195 Terabyte an Anmeldedaten . Die Liste der Opfer mit hoher Vertrauenswürdigkeit von CloudSEK umfasste unter anderem NVIDIA, Amazon Web Services, Samsung Electronics, Cisco Systems, Siemens, ServiceNow und viele andere .

Warum das jetzt wichtig ist

Die Cisco ASA- und FTD-Produkte sind ein wiederkehrendes Ziel für ausgeklügelte Angreifer. Diese aktuell ausgenutzte DoS-Sicherheitslücke erhöht den Druck auf die Verteidiger, die immer noch mit den Folgen sowohl der Kampagne von 2025 als auch der LiteLLM-Lieferketten-Exposition zu kämpfen haben. Die Schwachstelle befindet sich an der internetzugewandten Sicherheitsgrenze, erfordert keine Authentifizierung und kann mit einer einzigen Anfrage ausgelöst werden – was sie zu einer Priorität mit sofortigem Patchbedarf für jede Organisation macht, die betroffene Cisco-Firewall-Software einsetzt .