Allarme Cisco: hacker riavviano i firewall da remoto con una sola richiesta

Cisco ha avvisato che la vulnerabilità CVE-2026-20349 (CVSS 8.6) nei firewall Secure Firewall ASA e Secure Firewall Threat Defense è già sfruttata in attacchi reali. Il bug, presente nel servizio SSL VPN e in specifiche configurazioni di accesso remoto, permette a un attaccante non autenticato di provocare il riavvio del dispositivo causando un denial of service. Non esistono mitigazioni: è indispensabile installare subito le patch rilasciate da Cisco.

Cisco ha lanciato l’allarme su un attacco reale ai firewall che consente il riavvio remoto con una singola richiesta appositamente predisposta. La vulnerabilità interessa i sistemi Cisco Secure Firewall ASA e Secure Firewall Threat Defense in determinate configurazioni di connessione remota.

La vulnerabilità, identificata come CVE-2026-20349 (8.6 High), risiede nel servizio SSL VPN per l’accesso remoto ed è causata da un controllo degli errori insufficiente del dispositivo durante l’elaborazione delle richieste HTTP.

L’attacco non richiede un account o un accesso preventivo al dispositivo. Un utente malintenzionato deve semplicemente inviare una richiesta appositamente predisposta a un servizio accessibile, che può causare il riavvio imprevisto del dispositivo.

In seguito a un attacco riuscito, il firewall interrompe temporaneamente la gestione delle connessioni, causando un denial of service. La vulnerabilità non consente il furto o la modifica diretta dei dati, ma al riavvio del firewall può interrompere le connessioni remote e altri servizi che lo attraversano.

Cisco stima che l’attacco sia facile da eseguire e non richieda alcuna interazione da parte dell’utente.

Il problema si verifica sui dispositivi con versioni vulnerabili di Cisco Secure Firewall ASA o Secure FTD se sono abilitate determinate funzionalità. Queste includono SSL VPN , accesso remoto tramite IKEv2 con servizi client e, per Secure FTD, accesso zero-trust. Il software Cisco Secure Firewall Management Center non è interessato da questa vulnerabilità.

L’aggiornamento dei dispositivi è particolarmente urgente perché la vulnerabilità CVE-2026-20349 è già sotto sfruttamento.

Il Product Security Incident Response Team di Cisco ha segnalato di aver scoperto, nell’agosto del 2026, che la vulnerabilità veniva utilizzata in attacchi reali. La scoperta è stata effettuata dagli specialisti Cisco durante una revisione interna della sicurezza del prodotto ed è stata confermata anche da Valerio Brussani di HarmonyGuard, che ha condiviso le informazioni con Cisco.

Non esiste una soluzione per proteggersi dalla vulnerabilità CVE-2026-20349 senza eseguire un aggiornamento.

Cisco ha rilasciato patch per ASA 9.16, 9.18, 9.20, 9.22, 9.23 e 9.24, nonché per diverse versioni di Secure FTD dalla 7.0 alla 10.0. L’azienda raccomanda ai possessori dei dispositivi di verificare la versione installata e di aggiornarla alla versione corretta o di installare l’aggiornamento urgente corrispondente.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response