Cisco varnar: Aktivt utnyttjad nollagessårbarhet i ASA och FTD – patcha omedelbart

Cisco har bekräftat att en allvarlig nollagessårbarhet i företagets Secure Firewall Adaptive Security Appliance (ASA) och Threat Defense (FTD) aktivt utnyttjas i attacker. Företaget uppmanar alla kunder att omedelbart installera säkerhetsuppdateringar – någon konfigurationslösning finns inte .

Sårbarheten: CVE-2026-20349

Sårbarheten, som spåras som CVE-2026-20349, har fått CVSS v3.1-betyget 8.6 (Hög) .

• Grundorsak: Otillräcklig felkontroll när Remote Access SSL VPN-tjänsten bearbetar HTTP-förfrågningar .
• Angreppsvektor: En oautentiserad, fjärransluten angripare skickar en enda manipulerad HTTP-förfrågan till den sårbara enheten .
• Effekt: Exploateringen tvingar fram en oväntad omstart av enheten, vilket skapar ett denial-of-service-tillstånd (DoS) som stänger av VPN-åtkomsten för alla fjärranvändare och stör relaterade nätverkstjänster .

Ingen användarinteraktion eller autentisering krävs för att utnyttja sårbarheten. Ciscos Product Security Incident Response Team (PSIRT) fick kännedom om aktiv exploatering i augusti 2026 .

Åtgärd: Patches omedelbart – inga lösningar finns

Cisco har släppt säkerhetsuppdateringar som täcker de berörda programvarugrenarna. Det finns inga konfigurationslösningar – patchning är den enda vägen framåt .

• ASA-programvara: Versioner 9.16 till och med 9.24
• FTD-programvara: Versioner 7.0 till och med 10.0

Alla enheter som kör dessa versioner med Remote Access SSL VPN, SSL VPN, IKEv2 Remote Access VPN med klienttjänster eller Zero Trust Network Access aktiverat anses vara inom räckhåll .

CISA:s svar och federal deadline

Den amerikanska myndigheten för cybersäkerhet och infrastruktursäkerhet (CISA) har lagt till CVE-2026-20349 i sin Known Exploited Vulnerabilities (KEV)-katalog . Enligt direktivet måste alla amerikanska federala myndigheter inom den civila verkställande grenen (FCEB) åtgärda sårbarheten senast den 14 augusti 2026 .

Bredare säkerhetskontext: En tuff period för Ciscos brandväggar

Detta besked kommer under en särskilt turbulent period för Ciscos brandväggsprodukter och det bredare angreppsytan.

September 2025: CISA Emergency Directive ED 25-03

I september 2025 utfärdade CISA Emergency Directive 25-03 efter att en avancerad hotaktörskampanj utnyttjat nollagessårbarheter (CVE-2025-20333, CVE-2025-20362) i Cisco ASA- och Firepower-enheter. Kampanjen hade redan komprometterat minst tio organisationer och lämnat nära 50 000 enheter potentiellt sårbara . Direktivet ålade federala myndigheter att inom 24 timmar identifiera och åtgärda komprometterade Cisco-enheter .

Mars 2026: LiteLLM supply chain-attacken

Hotaktörsgruppen TeamPCP komprometterade den öppna AI-API-gatewayen LiteLLM, vilket potentiellt exponerade över 2 500 organisationer (inklusive Cisco) och cirka 434 000 CI/CD-pipelines – vad CloudSEK kallade den största AI-supply chain-attacken 2026 . Angriparna exfiltrerade cirka 195 terabyte med inloggningsuppgifter inom ett 40-minutersfönster . CloudSEK:s högtillförlitliga offerlista omfattade bland andra NVIDIA, Amazon Web Services, Samsung Electronics, Cisco Systems, Siemens och ServiceNow .

Varför detta är viktigt nu

Ciscos ASA- och FTD-produkter har varit ett återkommande mål för sofistikerade angripare. Den senaste aktivt utnyttjade DoS-sårbarheten ökar trycket på försvarare som fortfarande hanterar efterspelet av både 2025-kampanjen och LiteLLM-exponeringen. Sårbarheten sitter på den internetvända säkerhetsgränsen, kräver ingen autentisering och kan utlösas med en enda förfrågan – vilket gör den till en högprioriterad, omedelbar patch-situation för alla organisationer som kör berörd Cisco-brandväggsprogramvara .