CVE-2026-20349 afeta Cisco ASA

A CISA incluiu a CVE-2026-20349 em seu catálogo Known Exploited Vulnerabilities, e a falha já foi apontada como explorada ativamente em Cisco Secure Firewall ASA e FTD. O problema afeta serviços de VPN SSL de acesso remoto e pode permitir que um atacante remoto sem autenticação provoque a reinicialização do dispositivo, com negação de serviço como resultado.

O que essa vulnerabilidade faz no Cisco ASA e FTD?

A falha CVE-2026-20349 é descrita como um problema de inspeção de heap e de verificação insuficiente de erros ao processar requisições HTTP. Segundo o Canadian Centre for Cyber Security, isso pode levar à reinicialização do equipamento Cisco ASA ou FTD, deixando o dispositivo indisponível.

A Tenable situa a falha no serviço Remote Access SSL VPN e esclarece que um atacante remoto sem autenticação pode enviar uma requisição HTTP especialmente construída para disparar o reinício. A NVD a descreve nos mesmos termos, e a CVETodo a classifica com severidade alta, com pontuação CVSS de 8,6 sobre 10.

Quais configurações ficam expostas?

O dispositivo fica exposto se executar uma versão vulnerável e tiver habilitados serviços que abrem sockets SSL, especialmente IKEv2 Remote Access VPN com client services, SSL VPN ou WebVPN e Zero Trust Network Access, esta última apenas no FTD. A Cisco, segundo a CyCognito, identifica essas três configurações como as que ampliam a superfície de exposição.

A Cataam informa ainda que a vulnerabilidade só atinge equipamentos com a VPN de acesso remoto habilitada em uma interface exposta à internet. A Help Net Security concorda que o alcance não é geral, mas depende da versão afetada e de algum desses serviços estar ativo.

O que disseram a Cisco e os órgãos de resposta?

A Cisco publicou um advisory em 11 de agosto de 2026 e, segundo a CyCognito, sua equipe PSIRT já tinha conhecimento de exploração ativa naquele momento. O Canadian Centre for Cyber Security informou em seu advisory AV26-807 que a CISA adicionou a CVE-2026-20349 ao catálogo KEV em 11 de agosto de 2026.

A HKCERT também a incluiu em seu boletim sobre múltiplas vulnerabilidades de produtos Cisco e a classificou como uma falha em exploração no ambiente. A Help Net Security lembrou que, sob a orientação BOD 26-04, as agências civis federais dos Estados Unidos precisavam corrigi-la até 14 de agosto de 2026.

Há patches ou alternativas de mitigação?

A Cisco publicou hotfixes para várias famílias de ASA e FTD, incluindo ASA 9.16, 9.18, 9.20, 9.22, 9.23 e 9.24, além de FTD 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. A Help Net Security, a Cataam e a Cybersecurity Dive concordam que não há workarounds e que a resposta passa por instalar as versões corrigidas.

A Cataam acrescenta que, para dispositivos que não precisem dessa função, a alternativa operacional é desativar a VPN SSL de acesso remoto. A Cybersecurity Dive informou ainda que a Cisco recomendou de forma enfática a seus clientes que atualizassem para as versões corrigidas.