Deine Firewall soll Angriffe abwehren — bei Cisco reicht gerade eine einzige HTTP-Anfrage, um sie komplett aus dem Netz zu werfen. Die Lücke CVE-2026-20349 in ASA- und FTD-Firewalls wird laut Cisco bereits aktiv ausgenutzt. Und die Lage ist so ernst, dass die US-Cyberbehörde CISA ihren Bundesbehörden eine Patch-Frist bis heute, 14. August, gesetzt hat.
SO einfach fliegt deine Firewall aus dem Netz
Der Fehler steckt in der Verarbeitung von HTTP-Anfragen im Remote-Access-SSL-VPN-Dienst: Eine unzureichende Fehlerprüfung sorgt dafür, dass eine speziell präparierte Anfrage das Gerät zum sofortigen Neustart zwingt. Der Angreifer braucht dafür weder Zugangsdaten noch Nutzer-Interaktion — Netzwerkzugriff auf das VPN-Portal genügt. CVSS-Wertung: 8.6 von 10.
Das perfide daran: Getroffen wird genau das Gerät, das dein Netz schützt. Ein erzwungener Reload legt Perimeter-Schutz und Remote-Zugang gleichzeitig lahm — und wer die Anfrage in Schleife schickt, hält die Firewall dauerhaft im Boot-Kreislauf.
BIST du betroffen? Diese drei Konfigurationen sind gefährdet
Verwundbar sind ASA- und FTD-Geräte, bei denen mindestens eine dieser Funktionen aktiv ist:
1. SSL-VPN (webvpn mit enable <interface>)
2. IKEv2-Remote-Access-VPN mit Client-Services (crypto ikev2 enable <interface> client-services)
3. Zero Trust Network Access (nur FTD, zero-trust mit enable)
Wer sein Gerät nur als klassische Firewall ohne Remote-Access-Dienste betreibt, ist nach aktuellem Stand nicht angreifbar — sollte die Konfiguration aber trotzdem prüfen.
GEFAHR! Die Angriffe laufen bereits
Cisco veröffentlichte das Advisory am 11. August — und bestätigte gleich dazu, dass das eigene Incident-Response-Team im August aktive Ausnutzung beobachtet hat. Die CISA nahm die Lücke daraufhin in ihren KEV-Katalog der nachweislich ausgenutzten Schwachstellen auf. Die ungewöhnlich knappe Frist bis heute zeigt, wie ernst die Behörde die Sache nimmt.
Cisco-Firewalls stehen damit schon wieder im Fadenkreuz: Erst Anfang August sorgte ein Zero-Day in der Firewall-Zentrale FMC für Alarm, im Juni wurde eine SD-WAN-Lücke aktiv angegriffen.
SO rettest du dein Netz in 3 Schritten
1. Update einspielen: Cisco stellt korrigierte Software-Versionen bereit — welche Version du brauchst, listet das offizielle Advisory auf. Einen Workaround nennt Cisco nicht.
2. Exposition prüfen: Muss dein VPN-Portal wirklich aus dem gesamten Internet erreichbar sein? Geo-Blocking und Access-Lists reduzieren die Angriffsfläche.
3. Logs checken: Unerklärliche Reloads deiner ASA/FTD in den letzten Wochen sind ein Warnsignal — prüfe die Crash-Logs auf den betroffenen Geräten.
FAZIT: Patchen, bevor es dich erwischt
Ein DoS klingt harmloser als eine Codeausführung — aber wenn das betroffene Gerät deine Firewall ist, steht dein Standort offline. Die Kombination aus aktiver Ausnutzung, fehlender Authentifizierung und KEV-Eintrag macht CVE-2026-20349 zur Pflicht-Patch-Runde für dieses Wochenende.