CVE-2026-20349: Dringend patchen vereist voor Cisco-firewalls

Cisco heeft bevestigd dat een ernstige zeroday-kwetsbaarheid in zijn Secure Firewall Adaptive Security Appliance (ASA) en Threat Defense (FTD)-software actief wordt misbruikt. Het bedrijf roept alle klanten op om onmiddellijk hotfixes te installeren — er is geen workaround beschikbaar .

De Kwetsbaarheid: CVE-2026-20349

De kwetsbaarheid, gevolgd onder CVE-2026-20349, heeft een CVSS v3.1-score van 8.6 (Hoog) .

• Oorzaak: Onvoldoende foutcontrole bij de verwerking van HTTP-verzoeken door de Remote Access SSL VPN-service .
• Aanvalsvector: Een niet-geauthenticeerde, externe aanvaller kan een enkel, speciaal geprepareerd HTTP-verzoek naar het kwetsbare apparaat sturen .
• Gevolg: De aanval dwingt het apparaat tot een onverwachte herstart, wat leidt tot een denial-of-service (DoS)-toestand. Hierdoor wordt de VPN-toegang voor alle externe gebruikers verbroken en worden gerelateerde netwerkdiensten ontregeld .

Voor de exploitatie is geen gebruikersinteractie of authenticatie vereist. Cisco's Product Security Incident Response Team (PSIRT) werd in augustus 2026 op de hoogte van actieve misbruiken .

Oplossing: Onmiddellijk Patchen, Geen Workaround

Cisco heeft hotfixes uitgebracht voor alle getroffen softwareversies. Er zijn geen configuratieworkarounds — patchen is de enige mitigatie .

• ASA-software: Versies 9.16 tot en met 9.24
• FTD-software: Versies 7.0 tot en met 10.0

Alle apparaten die deze versies draaien met Remote Access SSL VPN, SSL VPN, IKEv2 Remote Access VPN met cliëntdiensten, of Zero Trust Network Access ingeschakeld, worden als kwetsbaar beschouwd .

Reactie van CISA en Federale Deadline

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft CVE-2026-20349 toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus . Op grond van deze richtlijn moeten alle Amerikaanse federale civiele instanties (FCEB) de kwetsbaarheid voor 14 augustus 2026 verhelpen .

Brodere Beveiligingscontext: Een Moeilijke Periode voor Cisco-firewallbeheerders

Deze bekendmaking valt in een bijzonder turbulente periode voor Cisco-firewalls en het bredere aanvalsoppervlak.

September 2025: CISA Nooddirective ED 25-03

In september 2025 vaardigde CISA Nooddirective 25-03 uit nadat een geavanceerde campagne van een dreigingsactor zeroday-kwetsbaarheden (CVE-2025-20333, CVE-2025-20362) in Cisco ASA- en Firepower-apparaten had misbruikt. De campagne had al minstens 10 organisaties gecompromitteerd en liet bijna 50.000 apparaten potentieel kwetsbaar achter . De directive verplichtte federale instanties om binnen 24 uur gecompromitteerde Cisco-apparaten te identificeren en te mitigeren .

Maart 2026: De LiteLLM-leveringsketenaanval

De dreigingsactorgroep TeamPCP compromitteerde de opensource AI API-gateway LiteLLM, waardoor mogelijk meer dan 2.500 organisaties (waaronder Cisco) en ongeveer 434.000 CI/CD-pijplijnen werden blootgesteld. CloudSEK noemde dit de grootste AI-leveringsketeninbreuk van 2026 . Aanvallers wisten binnen een tijdsbestek van 40 minuten ongeveer 195 terabyte aan inloggegevens te exfiltreren . CloudSEK's lijst van slachtoffers met een hoge mate van zekerheid omvatte onder meer NVIDIA, Amazon Web Services, Samsung Electronics, Cisco Systems, Siemens, ServiceNow en vele anderen .

Waarom Dit Nu Belangrijk Is

Cisco's ASA- en FTD-producten zijn een terugkerend doelwit voor geavanceerde aanvallers. Deze nieuwste, actief misbruikte DoS-kwetsbaarheid voegt druk toe aan verdedigers die nog steeds te maken hebben met de nasleep van zowel de campagne van 2025 als de blootstelling door de LiteLLM-leveringsketen. De kwetsbaarheid bevindt zich op de internetgerichte beveiligingsgrens, vereist geen authenticatie en kan worden getriggerd met een enkel verzoek — wat het voor elke organisatie die kwetsbare Cisco-firewallsoftware gebruikt, een topprioriteit maakt voor onmiddellijk patchen .