Cisco ASA e FTD: DoS sfruttato nella VPN SSL, solo hot fix

Il ColCERT, il CSIRT nazionale della Colombia, ha diffuso l’allerta COLCERT AL-20260819-113 sulla vulnerabilità CVE-2026-20349, che colpisce il servizio Remote Access SSL VPN di Cisco Secure Firewall ASA e Secure Firewall Threat Defense (FTD). Secondo l’allerta, Cisco ha confermato lo sfruttamento attivo e la CISA ha inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities (KEV) il giorno stesso della pubblicazione.

Questo articolo si basa su una sola fonte, l’allerta del ColCERT, che a sua volta riprende il bollettino di Cisco e l’allerta AL26-018 del Canadian Centre for Cyber Security: di seguito ogni informazione è attribuita all’ente colombiano.

Cosa succede

Secondo il ColCERT, un attaccante remoto e non autenticato può inviare una sola richiesta HTTP costruita ad arte al portale VPN e provocare il riavvio inatteso del firewall, senza alcuna interazione dell’utente. L’attacco si può ripetere a piacere, quindi può tenere il dispositivo fuori servizio a lungo.

Il ColCERT sottolinea l’effetto a cascata: quando cade il firewall perimetrale si interrompono insieme il controllo degli accessi alla rete e il lavoro da remoto di tutta l’organizzazione. Cisco Secure Firewall Management Center (FMC) non è colpito.

Dettagli tecnici

• CVE: CVE-2026-20349; bollettino Cisco cisco-sa-asaftd-vpn-dos-dzv4mQFF.
• Punteggio CVSS: 8.6 (alto). Il vettore indica impatto nullo su riservatezza e integrità (C:N, I:N), impatto alto sulla disponibilità (A:H) e ambito modificato (S:C).
• Debolezza: CWE-244, Improper Clearing of Heap Memory Before Release («heap inspection»).
• Condizioni: un dispositivo è vulnerabile solo se esegue una versione colpita e ha attiva almeno una funzione che apre socket SSL in ascolto. L’allerta indica che il rischio è massimo quando il portale VPN è raggiungibile da Internet, cioè nella normale configurazione dell’accesso remoto. L’elenco puntuale delle versioni e delle funzioni è nel bollettino di Cisco.

Sulla gravità il ColCERT fa due precisazioni. La prima: per Cisco non è un’esecuzione di codice da remoto, non ci sono esposizione di dati né prove che l’attaccante possa prendere il controllo amministrativo del dispositivo. La seconda: la debolezza indicata, secondo la definizione di MITRE, riguarda l’esposizione di informazioni nella memoria heap, e il difetto di fondo è un problema di gestione dell’heap raggiungibile senza autenticazione attraverso il motore HTTP del portale VPN. Poiché in passato difetti di questo tipo su questo componente sono stati portati a scenari più gravi, il ColCERT raccomanda di trattarla con la stessa urgenza di una RCE su un dispositivo perimetrale. È una valutazione prudenziale dell’ente, non un fatto riportato da Cisco.

In termini MITRE ATT&CK, lo sfruttamento descritto rientra in T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Niente workaround: solo hot fix

Secondo l’allerta, Cisco ha confermato che non esistono workaround né configurazioni che compensino il rischio. La correzione è distribuita solo come hot fix dal Software Center: non è inclusa in una normale versione di disponibilità generale, quindi l’aggiornamento ordinario del ramo software non basta.

Il ColCERT segnala alcuni dettagli pratici:

• gli hot fix di ASA 9.16 e 9.18 hanno un numero di versione che inizia con 89 (non è un refuso);
• con questi hot fix va installato anche ASDM 7.24.1.374: le versioni precedenti non riconoscono la numerazione e si perde l’accesso alla console di gestione;
• per FTD ogni ramo ha varianti specifiche per piattaforma (SSP, FP1K, FP2K, FP3K, Secure Firewall 1200/4200/6100): va installata quella esatta per il proprio hardware, mai pacchetti generici.

Come misure temporanee, l’allerta cita la restrizione del portale VPN con ACL sugli indirizzi di origine, che riduce la superficie d’attacco ma non protegge da chi riesce comunque a raggiungere il servizio, e la disattivazione della VPN, che elimina l’esposizione ma interrompe il lavoro da remoto. Per il ColCERT quest’ultima è una decisione di continuità operativa, da portare alla direzione e documentare.

Impatto per le aziende europee e italiane

L’allerta è colombiana, ma la vulnerabilità riguarda chiunque usi ASA o FTD come firewall perimetrale o concentratore VPN, in Europa come altrove. Come descrive il ColCERT, un attacco ripetuto può lasciare un’azienda senza accesso remoto e con il perimetro fuori servizio, e non richiede credenziali.

Per i soggetti NIS2 il caso riguarda la gestione delle vulnerabilità sfruttate, con priorità e tempi documentati, e la continuità operativa. Un’interruzione significativa causata da un attacco va valutata ai fini della notifica allo CSIRT Italia dell’ACN. Nella sanità, dove la VPN collega spesso medici, fornitori e sedi esterne, un firewall che si riavvia in continuazione si traduce in servizi clinici non raggiungibili.

Cosa fare subito

1. Fai l’inventario di tutti gli ASA e FTD, segnando quelli con il portale SSL VPN esposto su Internet (il ColCERT indica le prime 24 ore).
2. Verifica versione e funzioni attive. I comandi suggeriti dall’allerta: show version | include Version, show running-config webvpn, show running-config crypto ikev2, show running-config zero-trust (solo FTD) e show asp table socket | include SSL. Conferma il risultato con Cisco Software Checker.
3. Installa l’hot fix corretto per versione e piattaforma, dando priorità ai dispositivi esposti a Internet; il ColCERT indica un termine massimo di 72 ore. Metti in conto il tempo di riavvio nella finestra di manutenzione.
4. Cerca segni di sfruttamento. Cisco non ha diffuso indicatori di compromissione atomici (hash, IP, domini), quindi la ricerca è sul comportamento: riavvii senza modifiche di configurazione né guasti di alimentazione, riavvii ripetuti sullo stesso dispositivo, cadute simultanee di molte sessioni VPN nel syslog, picchi di richieste HTTP anomale verso la porta 443 dell’interfaccia esterna da poche origini. Il ColCERT suggerisce di controllare i log degli ultimi 30 giorni.
5. Conserva il file crashinfo prima di qualsiasi riavvio manuale o aggiornamento: secondo il ColCERT è l’unica prova forense dell’evento e viene sovrascritto.
6. Se usi Snort o FirePOWER, verifica che le regole 46897 e 59654 siano attive: sono un controllo parziale e non sostituiscono l’hot fix.
7. Se trovi tracce di sfruttamento, gestisci l’evento come un incidente di sicurezza, non come una semplice vulnerabilità.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai se un portale VPN è raggiungibile da fuori. ARX Sentry raccoglie i log dei firewall in un collettore centrale e la mappa del NOC evidenzia gli errori delle VPN: riavvii e cadute improvvise delle sessioni diventano più facili da notare e da ricostruire.

Ultimo aggiornamento: 9 ottobre 2026