Cisco ने जारी किया अलर्ट: ASA और FTD फायरवॉल में सक्रिय रूप से शोषित हो रही CVE-2026-20349 कमजोरी को तुरंत करें पैच

• मूल कारण: जब Remote Access SSL VPN सेवा HTTP अनुरोधों को प्रोसेस करती है, तो उसमें एरर चेकिंग की कमी के चलते यह समस्या उत्पन्न होती है ।
• हमले का तरीका: एक अनप्रमाणित, रिमोट हमलावर प्रभावित डिवाइस पर सिर्फ एक क्राफ्टेड HTTP अनुरोध भेजकर इस कमजोरी का शोषण कर सकता है ।
• प्रभाव: यह शोषण डिवाइस को अचानक रीलोड करने पर मजबूर कर देता है, जिससे डिनायल-ऑफ-सर्विस (DoS) की स्थिति पैदा हो जाती है। इससे सभी रिमोट यूज़रों का VPN एक्सेस कट जाता है और संबंधित नेटवर्क सेवाएं बाधित हो जाती हैं ।

इस कमजोरी के शोषण के लिए न तो किसी यूज़र इंटरैक्शन की आवश्यकता है और न ही प्रमाणीकरण की। सिस्को की प्रोडक्ट सिक्योरिटी इंसिडेंट रिस्पॉन्स टीम (PSIRT) को अगस्त 2026 में इसके सक्रिय शोषण की जानकारी मिली ।

उपचार: तुरंत पैच लगाएं, कोई विकल्प नहीं

सिस्को ने सभी प्रभावित सॉफ्टवेयर ट्रेनों के लिए हॉटफिक्स जारी कर दिए हैं। इस समस्या के लिए कोई कॉन्फ़िगरेशन वर्कअराउंड उपलब्ध नहीं है — एकमात्र उपाय पैच लगाना है ।

• ASA सॉफ्टवेयर: वर्जन 9.16 से 9.24
• FTD सॉफ्टवेयर: वर्जन 7.0 से 10.0

वे सभी डिवाइस जिनमें Remote Access SSL VPN, SSL VPN, IKEv2 Remote Access VPN या Zero Trust Network Access सक्षम है, इस कमजोरी के दायरे में आते हैं ।

CISA की प्रतिक्रिया और संघीय समय-सीमा

अमेरिकी साइबर सिक्योरिटी एंड इंफ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने CVE-2026-20349 को अपने Known Exploited Vulnerabilities (KEV) कैटलॉग में शामिल कर लिया है । इस निर्देश के तहत, सभी अमेरिकी FCEB एजेंसियों को 14 अगस्त 2026 तक इस कमजोरी को ठीक करना अनिवार्य है ।

व्यापक सुरक्षा संदर्भ: सिस्को फायरवॉल के लिए मुश्किल समय

यह खुलासा सिस्को फायरवॉल उपकरणों और समग्र हमले की सतह के लिए एक बेहद उथल-पुथल भरे दौर में हुआ है।

सितंबर 2025: CISA का आपातकालीन निर्देश ED 25-03

सितंबर 2025 में, CISA ने एक उन्नत खतरे वाले अभिनेता द्वारा सिस्को ASA और Firepower उपकरणों में जीरो-डे कमजोरियों (CVE-2025-20333, CVE-2025-20362) का शोषण किए जाने के बाद इमरजेंसी डायरेक्टिव 25-03 जारी किया था। इस अभियान ने कम से कम 10 संगठनों से समझौता कर लिया था और लगभग 50,000 डिवाइसों को संभावित रूप से कमजोर छोड़ दिया था । डायरेक्टिव ने संघीय एजेंसियों को 24 घंटे के भीतर समझौता किए गए सिस्को उपकरणों की पहचान करने और उन्हें कम करने का आदेश दिया था ।

मार्च 2026: LiteLLM सप्लाई-चेन अटैक

हैकर ग्रुप TeamPCP ने ओपन-सोर्स LiteLLM AI API गेटवे से समझौता किया, जिससे संभावित रूप से 2,500 से अधिक संगठनों (सिस्को सहित) और लगभग 434,000 CI/CD पाइपलाइनों का डेटा लीक हुआ। क्लाउडसेक ने इसे 2026 का सबसे बड़ा AI सप्लाई-चेन उल्लंघन बताया । हमलावरों ने 40 मिनट की अवधि के भीतर लगभग 195 टेराबाइट क्रेडेंशियल डेटा चुरा लिया । क्लाउडसेक की उच्च-विश्वसनीयता वाली पीड़ितों की सूची में NVIDIA, Amazon Web Services, Samsung Electronics, Cisco Systems, Siemens, ServiceNow और कई अन्य शामिल थे ।

यह अब क्यों मायने रखता है

सिस्को के ASA और FTD उत्पाद परिष्कृत हैकर्स के लिए एक आवर्ती लक्ष्य रहे हैं। यह नवीनतम सक्रिय रूप से शोषित DoS कमजोरी उन रक्षकों पर दबाव बढ़ाती है जो अभी भी 2025 के अभियान और LiteLLM सप्लाई-चेन एक्सपोजर से निपट रहे हैं। यह कमजोरी इंटरनेट-फेसिंग सिक्योरिटी बाउंड्री पर है, इसमें किसी प्रमाणीकरण की आवश्यकता नहीं है, और इसे एक ही अनुरोध से ट्रिगर किया जा सकता है — जो इसे किसी भी संगठन के लिए तत्काल पैच लगाने की स्थिति बनाता है ।