Angreifer nutzen bereits eine schwerwiegende Schwachstelle aus, durch die sich anfällige Cisco-ASA- und -FTD-Firewalls aus der Ferne zu einem Neustart zwingen lassen.
CVE-2026-20349 betrifft die Cisco-Secure-Firewall-Software und kann ohne Authentifizierung einen Denial-of-Service-Zustand auslösen. Cisco hat korrigierte Software veröffentlicht. Unternehmen, die weiterhin anfällige Installationen betreiben, sind daher unmittelbar gefährdet.
Sicherheitsteams, die für diese Appliances verantwortlich sind, müssen prüfen, ob ihre Software und Konfiguration für den Fernzugriff betroffen sind. Ein erzwungenes Neuladen ist nicht mit einer Gerätekompromittierung gleichzusetzen, kann den Zugriff an einer kritischen Stelle im Netzwerk jedoch unterbrechen.
Fernzugriffs-VPN-Dienst legt Pfad zum Absturz offen
Laut Cisco beruht die Schwachstelle auf unzureichenden Fehlerprüfungen, wenn betroffene ASA- oder FTD-Software HTTP-Anfragen verarbeitet, die an den SSL-VPN-Dienst für den Fernzugriff gesendet werden. Eine speziell präparierte Anfrage kann ein unerwartetes Neuladen auslösen und einen Denial of Service verursachen.
Gültige VPN-Zugangsdaten sind nicht erforderlich, und Cisco bewertet die Schwachstelle mit 8,6 von 10. Als Auswirkung wurde ein Denial of Service gemeldet; bei einer Ausnutzung wird das betroffene Gerät neu geladen.
Die Gefährdung hängt vom Software-Release und davon ab, ob der anfällige Dienst aktiviert ist. Administratoren sollten ihre Konfigurationen anhand der Sicherheitsmitteilung des Herstellers überprüfen, statt anzunehmen, dass jede ASA- oder FTD-Appliance demselben Risiko ausgesetzt ist. Bestehende VPN-Sicherheitspraktiken können Teams ebenfalls dabei helfen, die Kontrolle internetseitig erreichbarer Fernzugriffe zu überprüfen.
Neustarts von Firewalls können zu Betriebsstörungen werden
Wenn Sie Cisco-ASA- oder -FTD-Appliances am Netzwerkrand verwalten, würde ich einen ungeklärten Neustart so lange als potenzielles Sicherheitsereignis behandeln, bis seine Ursache feststeht. Dass ein Gerät nach einem Neustart wieder den Betrieb aufnimmt, erklärt weder, warum es ausgefallen ist, noch, ob jemand den Neustart absichtlich ausgelöst hat.
Ermitteln Sie zunächst, welche Appliances den betroffenen Fernzugriffsdienst bereitstellen, und stellen Sie fest, welche davon kritische Verbindungen unterstützen. Tools zur Schwachstellenanalyse können dabei helfen, Systeme aufzuspüren, die aus der routinemäßigen Erfassung herausgefallen sind. Die Konfigurationsprüfungen müssen jedoch weiterhin mit der Sicherheitsmitteilung des Herstellers abgeglichen werden.
Die Redundanz verdient eine gesonderte Prüfung. Ein Failover kann die Ausfallzeit verkürzen, wenn eine Appliance neu geladen wird. Sicherheitsteams sollten jedoch bestätigen, ob ihre Firewall-Sicherheitspraktiken wiederholte Ausfälle berücksichtigen und ob die Wiederherstellungskontrollen wie erwartet funktionieren.
Überprüfen Sie außerdem Protokolle und Absturzaufzeichnungen rund um ungeklärte Neustarts, insbesondere auf internetseitig erreichbaren Systemen. Bei ASA- und FTD-Produkten kam es bereits zu aktiver Ausnutzung, was Administratoren einen weiteren Grund gibt, ungewöhnliches Verhalten zu untersuchen, statt jeden Neustart als routinemäßigen Fehler abzutun.
Korrigierte Software ist verfügbar – jetzt sollte das Patchen folgen
Cisco hat Software-Updates für CVE-2026-20349 veröffentlicht. Administratoren können die Angaben zu den korrigierten Releases und den in der Sicherheitsmitteilung erwähnten Software Checker verwenden, um für jede betroffene Installation das passende Update zu ermitteln.
Es gibt keinen Workaround, der die Schwachstelle beseitigt. Daher ist ein Upgrade auf ein korrigiertes Release die wichtigste Abhilfemaßnahme. Unternehmen mit formellen Patch- und Schwachstellenmanagement-Programmen sollten exponierte Geräte priorisieren, da eine Ausnutzung bereits beobachtet wurde.
Da die Korrekturen bereits verfügbar sind, bleiben anfällige, internetseitig erreichbare Installationen der Bereich, in dem Unternehmen jetzt handeln können. Sicherheitsteams sollten betroffene Appliances so bald wie betrieblich möglich auf ein korrigiertes Release umstellen.
Microsoft warnt: DeadLock kann nach der Beschlagnahmung von Servern weiterhin aktiv bleiben, was die Bemühungen zur Zerschlagung der Ransomware-Gruppe erschwert.