Cisco ASA e FTD: falla della VPN che riavvia il firewall, già sfruttata
L'11 agosto 2026 Cisco ha reso nota una falla dei suoi firewall ASA e FTD che permette, senza credenziali, di farli riavviare con una sola richiesta; Cisco ha confermato che viene sfruttata. Qui trovi i fatti, le fonti e che cosa non si sa.
Scheda aggiornata al 27 ottobre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 11 agosto 2026 · Ultimo controllo delle fonti: 27 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: gli avvisi del 13 e 18 agosto 2026 sullo sfruttamento confermato.
- Il Centro canadese per la sicurezza informatica conferma lo sfruttamento riferito da Cisco.
- Cisco pubblica l'avviso e le correzioni.
La falla in sintesi
| Identificativo | CVE-2026-20349 |
|---|---|
| Gravità | Alta: 8,6 su 10 (CVSS), secondo l'agenzia di Singapore (CSA) |
| Prodotti interessati | Cisco Secure Firewall ASA (9.16–9.24) e FTD (7.0–10.0) con VPN SSL, VPN IKEv2 per l'accesso remoto o ZTNA attivi |
| Correzione | Disponibile: aggiornamenti ASA e correzioni «hotfix» per FTD indicati dall'avviso di Cisco |
| Già sfruttata? | Sì: Cisco ha confermato lo sfruttamento |
Tre cose da sapere
Che cosa è successo
L'11 agosto 2026 Cisco ha pubblicato l'avviso su una falla (CVE-2026-20349) nel servizio VPN dei firewall Cisco Secure Firewall ASA e FTD: una richiesta HTTP costruita ad arte fa riavviare il dispositivo.
Che cosa ha comportato
Chi lo sfrutta può interrompere ripetutamente il collegamento VPN e il filtraggio del traffico dell'azienda (un blocco del servizio). Il Centro canadese per la sicurezza informatica e l'agenzia di Singapore riferiscono che lo sfruttamento è in corso.
Che cosa non si sa
Quante organizzazioni siano state colpite e chi sia all'origine degli attacchi.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| L'11 agosto 2026 Cisco ha pubblicato l'avviso sulla falla CVE-2026-20349 dei firewall ASA e FTD (identificativo dell'avviso: cisco-sa-asaftd-vpn-dos-dzv4mQFF). | Dichiarato | [1] [2] |
| Una richiesta HTTP costruita ad arte, inviata da un aggressore senza credenziali al servizio VPN, fa riavviare il dispositivo (blocco del servizio). | Dichiarato | [1] [2] |
| Cisco ha confermato che la falla è già sfruttata; lo riferiscono il Centro canadese per la sicurezza informatica (13 agosto) e l'agenzia di Singapore (18 agosto). | Dichiarato | [1] [2] |
| Sono interessati i prodotti con una di queste funzioni attiva: VPN SSL, VPN IKEv2 per l'accesso remoto con servizi per i client, accesso di tipo «zero trust» (solo FTD). | Dichiarato | [1] [2] |
| Secondo l'agenzia di Singapore il punteggio di gravità è 8,6 su 10; il Centro canadese parla di gravità alta senza indicare il punteggio. | Riportato dalla stampa | [1] [2] |
| Secondo il Centro canadese, il software Cisco Secure Firewall Management Center non è interessato. | Riportato dalla stampa | [1] |
| Le versioni corrette indicate dal Centro canadese includono per ASA 9.20.4.235, 9.22.3.191, 9.23.1.211, 9.24.1.221 e, per FTD, correzioni «hotfix» come 7.4.7.1 e 7.6.4.1; l'elenco completo è nell'avviso di Cisco. | Riportato dalla stampa | [1] |
| Le fonti consigliano di aggiornare subito, di verificare se le funzioni VPN esposte sono necessarie e di controllare i registri per riavvii inattesi. | Riportato dalla stampa | [1] [2] |
- Quante organizzazioni siano state colpite.
- Chi stia sfruttando la falla e con quale scopo.
- Se esistano misure alternative all'aggiornamento: le fonti consultate non ne indicano.
Indicazioni generali, valide per qualunque organizzazione: controlla sempre l'avviso del produttore del tuo apparato, che prevale su queste note.
- Le funzioni VPN esposte a Internet vanno attivate solo se servono davvero e vanno aggiornate fuori dal ciclo normale quando il produttore segnala uno sfruttamento in corso.
- Riavvii inattesi di un firewall sono un segnale da non ignorare: conviene controllare i registri e avvisare chi gestisce la rete.
- Un blocco del servizio non ruba dati, ma interrompe il lavoro: prevedere un secondo collegamento o una procedura di emergenza riduce l'impatto.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Centro canadese per la sicurezza informatica | AL26-018: vulnerabilità di Cisco ASA e FTD (CVE-2026-20349) | 13 agosto 2026 | Date, prodotti, versioni corrette, sfruttamento, indicazioni. |
| [2] | Agenzia per la sicurezza informatica di Singapore (CSA) | High-Severity Vulnerability in Cisco Secure Firewall ASA and FTD (AL-2026-106) | 18 agosto 2026 | Punteggio di gravità, prodotti interessati, sfruttamento. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Ivanti Connect Secure: falla della VPN sfruttata prima della correzione · 13 ottobre 2026 (sfruttata dai primi di ottobre)
- Ahold Delhaize: siti e app dei supermercati spenti in Europa e negli Stati Uniti · 12 ottobre 2026
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto