#Netzwerk & Sicherheit · 3 Min. Lesezeit · Tim Rinkel

FIREWALL-ABSCHUSS! Eine einzige Anfrage wirft Cisco-Firewalls aus dem Netz — US-Behörden mussten bis HEUTE patchen

FIREWALL-ABSCHUSS! Eine einzige Anfrage wirft Cisco-Firewalls aus dem Netz — US-Behörden mussten bis HEUTE patchen

Deine Firewall soll Angriffe abwehren — bei Cisco reicht gerade eine einzige HTTP-Anfrage, um sie komplett aus dem Netz zu werfen. Die Lücke CVE-2026-20349 in ASA- und FTD-Firewalls wird laut Cisco bereits aktiv ausgenutzt. Und die Lage ist so ernst, dass die US-Cyberbehörde CISA ihren Bundesbehörden eine Patch-Frist bis heute, 14. August, gesetzt hat.

SO einfach fliegt deine Firewall aus dem Netz

Der Fehler steckt in der Verarbeitung von HTTP-Anfragen im Remote-Access-SSL-VPN-Dienst: Eine unzureichende Fehlerprüfung sorgt dafür, dass eine speziell präparierte Anfrage das Gerät zum sofortigen Neustart zwingt. Der Angreifer braucht dafür weder Zugangsdaten noch Nutzer-Interaktion — Netzwerkzugriff auf das VPN-Portal genügt. CVSS-Wertung: 8.6 von 10.

Das perfide daran: Getroffen wird genau das Gerät, das dein Netz schützt. Ein erzwungener Reload legt Perimeter-Schutz und Remote-Zugang gleichzeitig lahm — und wer die Anfrage in Schleife schickt, hält die Firewall dauerhaft im Boot-Kreislauf.

BIST du betroffen? Diese drei Konfigurationen sind gefährdet

Verwundbar sind ASA- und FTD-Geräte, bei denen mindestens eine dieser Funktionen aktiv ist:

1. SSL-VPN (webvpn mit enable <interface>)
2. IKEv2-Remote-Access-VPN mit Client-Services (crypto ikev2 enable <interface> client-services)
3. Zero Trust Network Access (nur FTD, zero-trust mit enable)

Wer sein Gerät nur als klassische Firewall ohne Remote-Access-Dienste betreibt, ist nach aktuellem Stand nicht angreifbar — sollte die Konfiguration aber trotzdem prüfen.

GEFAHR! Die Angriffe laufen bereits

Cisco veröffentlichte das Advisory am 11. August — und bestätigte gleich dazu, dass das eigene Incident-Response-Team im August aktive Ausnutzung beobachtet hat. Die CISA nahm die Lücke daraufhin in ihren KEV-Katalog der nachweislich ausgenutzten Schwachstellen auf. Die ungewöhnlich knappe Frist bis heute zeigt, wie ernst die Behörde die Sache nimmt.

Cisco-Firewalls stehen damit schon wieder im Fadenkreuz: Erst Anfang August sorgte ein Zero-Day in der Firewall-Zentrale FMC für Alarm, im Juni wurde eine SD-WAN-Lücke aktiv angegriffen.

SO rettest du dein Netz in 3 Schritten

1. Update einspielen: Cisco stellt korrigierte Software-Versionen bereit — welche Version du brauchst, listet das offizielle Advisory auf. Einen Workaround nennt Cisco nicht.
2. Exposition prüfen: Muss dein VPN-Portal wirklich aus dem gesamten Internet erreichbar sein? Geo-Blocking und Access-Lists reduzieren die Angriffsfläche.
3. Logs checken: Unerklärliche Reloads deiner ASA/FTD in den letzten Wochen sind ein Warnsignal — prüfe die Crash-Logs auf den betroffenen Geräten.

FAZIT: Patchen, bevor es dich erwischt

Ein DoS klingt harmloser als eine Codeausführung — aber wenn das betroffene Gerät deine Firewall ist, steht dein Standort offline. Die Kombination aus aktiver Ausnutzung, fehlender Authentifizierung und KEV-Eintrag macht CVE-2026-20349 zur Pflicht-Patch-Runde für dieses Wochenende.

Häufige Fragen

Welche Geräte und Versionen sind betroffen?
Cisco-ASA- und FTD-Firewalls, auf denen Remote-Access-SSL-VPN, IKEv2 mit Client-Services oder Zero Trust Network Access aktiviert ist. Die genauen verwundbaren Software-Versionen und die passenden Fixed Releases listet Ciscos Security Advisory zu CVE-2026-20349 auf.
Wie merke ich, ob mein System schon angegriffen wurde?
Das deutlichste Signal sind unerwartete Neustarts der Firewall ohne erkennbaren Grund. Prüfe die Crash- und System-Logs deiner ASA/FTD auf ungewöhnliche Reloads seit Ende Juli und korreliere sie mit Zugriffen auf das VPN-Portal.
Wie behebe ich das Problem konkret?
Spiele das von Cisco bereitgestellte Software-Update ein — einen Workaround gibt es laut Advisory nicht. Zusätzlich sinnvoll: die Erreichbarkeit des VPN-Portals per Access-Lists oder Geo-Blocking einschränken, bis alle Geräte gepatcht sind.
Gab es schon aktive Angriffe?
Ja. Cisco bestätigte im Advisory vom 11. August aktive Ausnutzung, und die US-Behörde CISA nahm die Lücke in den KEV-Katalog auf — mit Patch-Frist zum 14. August für US-Bundesbehörden. Ein öffentlicher Exploit-Code war zum Zeitpunkt der Meldung nicht bekannt.

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert