Betroffen sind laut Cisco Geräte, auf denen eine verwundbare Version von Secure Firewall ASA Software oder Cisco Secure FTD Software läuft und die zudem eine oder mehrere der vom Hersteller genannten anfälligen Konfigurationen verwenden. Welche Versionen von ASA und FTD betroffen sind, hat Cisco in seinem Sicherheitshinweis aufgeführt.
Die Schwachstelle CVE-2026-20349 beruht nach Angaben des Unternehmens auf einer unzureichenden Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen. Ein nicht authentifizierter Angreifer kann aus der Ferne eine speziell gestaltete HTTP-Anfrage an den Remote Access SSL VPN-Dienst eines betroffenen Geräts senden. Gelingt die Ausnutzung, kann das Gerät neu laden, was in einem Denial-of-Service-Zustand mündet.
Cisco betont, dass es keine Workarounds gibt, die die Lücke entschärfen. Der Hersteller erklärte zudem, man habe in diesem Monat von aktiver Ausnutzung erfahren. Entdeckt wurde das Problem laut Cisco bei internen Sicherheitstests. Unabhängig davon schrieb das Unternehmen Valerio Brussani die separate Entdeckung und Meldung der Schwachstelle zu.
Noch offen ist, wie die laufenden Angriffe genau aussehen. Auch zur Identität und Herkunft des Bedrohungsakteurs, zu konkret anvisierten Organisationen und dazu, ob einzelne Angriffe erfolgreich waren, liegen derzeit keine Angaben vor.
Die Entwicklung hat auch die U.S. Cybersecurity and Infrastructure Security Agency (CISA) auf den Plan gerufen. Die Behörde nahm CVE-2026-20349 in ihren Known Exploited Vulnerabilities (KEV)-Katalog auf. Für Behörden der Federal Civilian Executive Branch (FCEB) gilt damit die Vorgabe, die verfügbaren Korrekturen bis zum 14. August 2026 einzuspielen.