Mobile-Menu

Denial of Service in Firewalls Cisco patcht kritische Sicherheitslücke in SSL-VPN-Dienst

Von Melanie Staudacher 3 min Lesedauer

Eine kritische Schwachstelle in Cisco Secure Firewall ASA und FTD er­mög­licht es unauthentizierten Angreifern, betroffene Geräte zum Neustart zu zwingen. Der CVSS-Score von 8.6 sowie die aktive Ausnutzung erfordern sofortige Patches.

Die Schwachstelle beruht auf einer unzureichenden Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen im Remote-Access-SSL-VPN-Dienst von Cisco ASA und FTD. Sie ermöglicht es Angreifern einen Denial-of-Service-Ausfall von Firewall- und VPN-Diensten auszulösen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Die Schwachstelle beruht auf einer unzureichenden Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen im Remote-Access-SSL-VPN-Dienst von Cisco ASA und FTD. Sie ermöglicht es Angreifern einen Denial-of-Service-Ausfall von Firewall- und VPN-Diensten auszulösen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Cisco hat die kritische Denial-of-Service-Schwachstelle EUVD-2026-56643 / CVE-2026-20349 (CVSS-Score 8.6, EPSS-Score* noch nicht vergeben) in seinen Secure Firewall Produkten behoben. Die Sicherheitslücke betrifft den Remote Access SSL-VPN-Dienst in Secure Firewall Adaptive Security Appliance (ASA) Software und Secure Firewall Threat Defense (FTD) Software. Beide Produkte sind zentrale Komponenten zur Netzwerksicherung und ermöglichen es Mitarbeitern, sich sicher in Unternehmensnetze einzuwählen.

Die Schwachstelle gilt seit dem 11. August als aktiv missbraucht. Die CISA hat sie am 11. August in ihren KEV-Katalog aufgenommen.

Ausnutzung über HTTP-Requests

Die Schwachstelle entsteht durch unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen. Ein unauthentifizierter, entfernter Angreifer kann EUVD-2026-56643 / CVE-2026-20349 ausnutzen, indem er eine speziell präparierte HTTP-Anfrage an den Remote Access SSL-VPN-Dienst eines betroffenen Geräts sendet. Ein erfolgreicher Exploit führt dazu, dass die Firewall unerwartet neu startet und dadurch ein Denial-of-Service-Zustand entsteht.

Betroffen sind zahlreiche Versionen beider Produkte. Cisco ASA-Versionen von 9.16.x bis 9.24.x sowie FTD-Versionen von 7.0 bis 10.0 sind anfällig, sofern eine der anfälligen Konfigurationen aktiv ist. Diese umfassen dem Advisory des Herstellers nach:

Cisco Secure Firewall ASA und FTD Software Feature Mögliche anfällige Konfiguration
IKEv2 Remote Access VPN (mit Client Services) crypto ikev2 enable <interface_name> client-services port <port_numbers>
SSL VPN webvpn
enable <interface_name>
Zero Trust Network Access zero-trust
enable

Organisationen können über den Cisco Software Checker überprüfen, ob ihre Versionen anfällig sind.

Cisco hat Hot Fixes für alle betroffenen Versionen veröffentlicht. Für ASA stehen Hot Fixes für die Versionen 9.16.1 bis 9.24.1 zur Verfügung. Und für FTD stehen Hot Fixes für die Versionen 7.0 bis 10.0 bereit. Organisationen sollten Hot Fixes über das Cisco Software Center herunterladen und einspielen. Für Hot Fixes, die mit „89" beginnen, ist zusätzlich ASDM Release 7.24.1.374 erforderlich.

Cisco Secure FTD Software Release Hot Fix Name
7.0 Cisco_FTD_Hotfix_GC-7.0.9.1-1.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_GC-7.0.9.1-1.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_GC-7.0.9.1-1.sh.REL.tar
Cisco_FTD_SSP_Hotfix_GC-7.0.9.1-1.sh.REL.tar
7.2 Cisco_FTD_Hotfix_HM-7.2.11.1-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
Cisco_FTD_SSP_FP3K_Hotfix_HM-7.2.11.1-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_HM-7.2.11.1-2.sh.REL.tar
7.4 Cisco_FTD_Hotfix_HK-7.4.7.1-1.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
Cisco_FTD_SSP_FP2K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
Cisco_FTD_SSP_FP3K_Hotfix_HK-7.4.7.1-1.sh.REL.tar
Cisco_FTD_SSP_Hotfix_HK-7.4.7.1-1.sh.REL.tar
Cisco_Secure_FW_TD_4200_Hotfix_HK-7.4.7.1-1.sh.REL.tar
7.6 Cisco_FTD_Hotfix_DD-7.6.4.1-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_DD-7.6.4.1-2.sh.REL.tar
Cisco_FTD_SSP_FP3K_Hotfix_DD-7.6.4.1-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_DD-7.6.4.1-2.sh.REL.tar
Cisco_Secure_FW_TD_4200_Hotfix_DD-7.6.4.1-2.sh.REL.tar
7.7 Cisco_FTD_Hotfix_AN-7.7.11.1-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_AN-7.7.11.1-2.sh.REL.tar
Cisco_FTD_SSP_FP3K_Hotfix_AN-7.7.11.1-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_AN-7.7.11.1-2.sh.REL.tar
Cisco_Secure_FW_TD_1200_Hotfix_AN-7.7.11.1-2.sh.REL.tar
Cisco_Secure_FW_TD_4200_Hotfix_AN-7.7.11.1-2.sh.REL.tar
10.0 Cisco_FTD_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_FTD_SSP_FP1K_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_FTD_SSP_FP3K_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_FTD_SSP_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_Secure_FW_TD_200_Hotfix_R-10.0.0.1-2.sh.REL.tar
Cisco_Secure_FW_TD_1200_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_Secure_FW_TD_4200_Hotfix_S-10.0.0.1-2.sh.REL.tar
Cisco_Secure_FW_TD_6100_Hotfix_S-10.0.0.1-2.sh.REL.tar

Cisco Secure Firewall ASA Software Release Hot Fix Name
9.16 89.16.4.50
9.18 89.18.4.50
9.20 9.20.4.235
9.22 9.22.3.191
9.23 9.23.1.211
9.24 9.24.1.221

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50926301)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte