CVE-2026-20349: allarme Cisco per vulnerabilità zero-day già sfruttata su firewall ASA e FTD

Cisco ha confermato lo sfruttamento attivo di una vulnerabilità zero-day ad alta gravità nei suoi firewall Secure Firewall Adaptive Security Appliance (ASA) e Threat Defense (FTD). L'azienda invita tutti i clienti ad applicare immediatamente gli aggiornamenti: non esiste alcuna soluzione alternativa .

La vulnerabilità: CVE-2026-20349

Identificata come CVE-2026-20349, questa falla ha un punteggio CVSS v3.1 di 8.6 (Alto) .

• Causa principale: Controllo insufficiente degli errori durante l'elaborazione delle richieste HTTP da parte del servizio VPN SSL per accesso remoto .
• Vettore d'attacco: Un aggressore remoto non autenticato può inviare una singola richiesta HTTP manipolata al dispositivo vulnerabile .
• Effetto: Lo sfruttamento provoca un riavvio imprevisto del dispositivo, creando una condizione di denial-of-service (DoS) che interrompe l'accesso VPN per tutti gli utenti remoti e blocca i servizi di rete correlati .

Per sfruttare la vulnerabilità non è necessaria alcuna interazione con l'utente né autenticazione. Il team di risposta agli incidenti di sicurezza (PSIRT) di Cisco ha rilevato lo sfruttamento attivo nell'agosto 2026 .

Rimedio: applicare subito la patch, nessuna alternativa

Cisco ha rilasciato aggiornamenti (hot fix) per tutte le versioni interessate. Non ci sono soluzioni di configurazione alternative: la patch è l'unica strada .

• Software ASA: Versioni dalla 9.16 alla 9.24
• Software FTD: Versioni dalla 7.0 alla 10.0

Tutti i dispositivi che eseguono queste versioni con il servizio VPN SSL per accesso remoto, VPN SSL, VPN IKEv2 per accesso remoto con servizi client o Zero Trust Network Access attivo sono considerati a rischio .

La risposta della CISA e la scadenza federale

L'agenzia USA per la sicurezza informatica e delle infrastrutture (CISA) ha aggiunto CVE-2026-20349 al suo catalogo delle vulnerabilità note sfruttate (KEV) . Con questa direttiva, tutte le agenzie del ramo esecutivo civile federale (FCEB) degli Stati Uniti sono obbligate a correggere la vulnerabilità entro il 14 agosto 2026 .

Contesto più ampio: un periodo difficile per i firewall Cisco

Questa notifica arriva in un momento particolarmente critico per i firewall Cisco e per la superficie d'attacco complessiva.

Settembre 2025: Direttiva d'emergenza CISA ED 25-03

Nel settembre 2025, la CISA ha emesso la Direttiva d'emergenza 25-03 dopo che una campagna di un gruppo di minacce avanzate aveva sfruttato vulnerabilità zero-day (CVE-2025-20333, CVE-2025-20362) nei dispositivi Cisco ASA e Firepower. La campagna aveva già compromesso almeno 10 organizzazioni e lasciato quasi 50.000 dispositivi potenzialmente vulnerabili . La direttiva imponeva alle agenzie federali di identificare e mettere in sicurezza i dispositivi Cisco compromessi entro 24 ore .

Marzo 2026: l'attacco alla supply chain di LiteLLM

Il gruppo di minacce TeamPCP ha compromesso il gateway open-source LiteLLM per API AI, esponendo potenzialmente oltre 2.500 organizzazioni (tra cui Cisco) e circa 434.000 pipeline CI/CD, in quella che CloudSEK ha definito la più grande violazione della supply chain AI del 2026 . Gli aggressori hanno esfiltrato circa 195 terabyte di dati di credenziali in una finestra di 40 minuti . La lista di vittime ad alta confidenza di CloudSEK includeva NVIDIA, Amazon Web Services, Samsung Electronics, Cisco Systems, Siemens, ServiceNow e molti altri .

Perché è importante ora

I prodotti ASA e FTD di Cisco sono stati un bersaglio ricorrente per gli aggressori più sofisticati. Quest'ultima falla DoS attivamente sfruttata aumenta la pressione sui responsabili della sicurezza, già alle prese con le conseguenze della campagna del 2025 e dell'esposizione della supply chain di LiteLLM. La vulnerabilità risiede sul perimetro di sicurezza esposto a Internet, non richiede autenticazione e può essere attivata con una singola richiesta: per qualsiasi organizzazione che utilizzi il software firewall Cisco interessato, si tratta di una situazione di priorità massima che richiede una patch immediata .