Cisco, Secure Firewall Adaptive Security Appliance (ASA) Yazılımı ve Secure Firewall Threat Defense (FTD) Yazılımını etkileyen yeni bir güvenlik açığının doğada istismar edildiği konusunda uyardı.
CVE-2026-20349 olarak izlenen yüksek önem dereceli açık, CVSS puanı 8.6 ile değerlendiriliyor. Açık, HTTP istekleri işlenirken yetersiz hata kontrolünden kaynaklanıyor ve kimliği doğrulanmamış uzaktan bir saldırganın hizmet reddi (DoS) durumu tetiklemesine olanak tanıyor.
Cisco Salı günü yayımladığı danışmada şu açıklamayı yaptı: "Bir saldırgan bu açığı, etkilenen bir cihaz üzerindeki Uzaktan Erişim SSL VPN hizmetine hazırlanmış bir HTTP isteği göndererek istismar edebilir." "Başarılı bir istismar, saldırganın etkilenen cihazın yeniden yüklenmesine neden olmasına ve DoS durumuna yol açmasına izin verebilir."
Güvenlik kusurları, aşağıda listelenen savunmasız yapılandırmalardan bir veya daha fazlasına sahip savunmasız bir Secure Firewall ASA Yazılımı veya Cisco Secure FTD Yazılımı sürümü çalıştıran cihazları etkiliyor.
IKEv2 Uzaktan Erişim VPN (istemci hizmetleriyle) - crypto ikev2 enable <interface_name> client-services port <port_numbers>
SSL-VPN - webvpn enable <interface_name>
Zero Trust Network Access2 - zero-trust enable
Aşağıdaki ASA ve FTD sürümleri etkileniyor.
ASA 9.161 - Düzeltildi 89.16.4.50)
ASA 9.181 - Düzeltildi 89.18.4.50)
ASA 9.20 - Düzeltildi 9.20.4.235)
ASA 9.22 - Düzeltildi 9.22.3.191)
ASA 9.23 - Düzeltildi 9.23.1.211)
ASA 9.24 - Düzeltildi 9.24.1.221)
FTD 7.0 - Düzeltildi
FTD 7.2 - Düzeltildi
FTD 7.4 - Düzeltildi
FTD 7.6 (Düzeltildi
FTD 7.7 - Düzeltildi
FTD 10.0 - Düzeltildi
Cisco, açığı giderecek bir geçici çözüm bulunmadığını belirtti ve bu ayın başlarında aktif istismarın farkına vardığını ekledi. Ağ ekipmanı üreticisi, sorunun dahili güvenlik testleri sırasında bulunduğunu açıkladı. Ayrıca güvenlik açığını ayrı olarak keşfedip bildiren Valerio Brussani’ye teşekkür etti.
Saldırıların niteliği, açığı istismar eden tehdit aktörünün kimliği ve kökeni, hangi kuruluşların hedef alındığı ve bu çabaların başarılı olup olmadığına dair şu anda bir detay bulunmuyor.
Gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklemesine yol açtı. Bu kapsamda Federal Sivil Yürütme Şubesi (FCEB) kurumlarının düzeltmeleri 14 Ağustos 2026 tarihine kadar uygulaması gerekiyor.
