CVE-2026-20349: Cisco-Firewall-Lücke wird aktiv für DoS ausgenutzt

Veröffentlicht am 17.08.2026

Eine einzige, geschickt präparierte Netzwerkanfrage genügt, um eine Cisco-Firewall in die Knie zu zwingen – und Angreifer nutzen genau das bereits aus. Cisco hat mit CVE-2026-20349 eine Sicherheitslücke in seinen weit verbreiteten Firewall-Produkten Secure Firewall ASA und Secure Firewall Threat Defense (FTD) bestätigt. Über den Fernzugriffs-VPN-Dienst (Remote-Access-SSL-VPN) kann ein Angreifer ohne jede Anmeldung eine verwundbare Appliance zum unerwarteten Neustart zwingen. Das Ergebnis: Der VPN-Zugang bricht weg, und im schlimmsten Fall fällt die gesamte Netzgrenze aus. Cisco stellt Hotfixes bereit – einen Workaround gibt es nicht.

Was ist passiert?

Cisco veröffentlichte am 11. August 2026 das Security Advisory zu CVE-2026-20349. Kurz darauf, ebenfalls am 11. August, nahm die US-Sicherheitsbehörde CISA die Schwachstelle in ihren Katalog der bekannten, aktiv ausgenutzten Schwachstellen (KEV-Katalog) auf – ausdrücklich „based on evidence of active exploitation“, also auf Grundlage von Belegen für aktive Angriffe in der Praxis.

Das Cisco Product Security Incident Response Team (PSIRT) bestätigt die laufenden Angriffe unmissverständlich:

„In August 2026, the Cisco Product Security Incident Response Team (PSIRT) became aware of active exploitation of this vulnerability. Cisco strongly recommends that customers upgrade to a fixed software release to remediate this vulnerability.“ – Cisco PSIRT

Auch das kanadische Cyber-Sicherheitszentrum (Canadian Centre for Cyber Security) bestätigt in seinem Alert AL26-018 vom 13. August 2026 die aktive Ausnutzung. Es handelt sich also nicht um eine theoretische Gefahr, sondern um eine Lücke, die bereits jetzt missbraucht wird.

Wichtig zur Einordnung: Der primäre Schaden ist ein Denial of Service (DoS) – also ein Verfügbarkeitsausfall durch einen erzwungenen Neustart. Es geht bei dieser Lücke nach aktuellem Stand nicht um Datendiebstahl oder um das Umgehen einer Authentifizierung. Cisco bewertet die Auswirkung auf Vertraulichkeit und Integrität ausdrücklich mit „None“, die auf die Verfügbarkeit hingegen mit „High“.

Technischer Hintergrund – verständlich erklärt

Eine Firewall wie die Cisco ASA oder FTD sitzt am Übergang zwischen dem Internet und dem internen Firmennetz. Viele Unternehmen nutzen diese Geräte zusätzlich als VPN-Gateway – also als Einwahlpunkt, über den sich Mitarbeitende von unterwegs sicher ins Firmennetz verbinden. Genau dieser Fernzugriffs-Dienst ist das Einfallstor.

Die Schwachstelle liegt laut Cisco in einer unzureichenden Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen (die technische Kategorie ist CWE-244). Ein Angreifer kann eine speziell präparierte HTTP-Anfrage – also eine bewusst manipulierte Web-Anfrage – an den Remote-Access-SSL-VPN-Dienst schicken. Die Appliance verarbeitet diese Anfrage fehlerhaft und startet unerwartet neu (ein sogenannter „Reload“). Während dieses Neustarts ist das Gerät nicht verfügbar.

Der Angriff ist besonders gefährlich, weil er:

• über das Netzwerk erfolgt (kein physischer Zugang nötig),
• ohne Zugangsdaten auskommt (unauthentisiert),
• keine Nutzerinteraktion erfordert (niemand muss auf etwas klicken),
• und technisch wenig komplex ist.

Der offizielle CVSS-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H und ergibt einen Schweregrad von 8,6 von 10 (High).

Sicherheitsforscher Igal Zeifman von CyCognito bringt die eigentliche Brisanz auf den Punkt:

„Because the affected devices are firewalls and VPN concentrators, a successful exploit removes both the perimeter enforcement point and the remote access path for users at the same time.“ – Igal Zeifman, CyCognito

Sinngemäß: Da die betroffenen Geräte gleichzeitig Firewall und VPN-Konzentrator sind, entfernt ein erfolgreicher Angriff auf einen Schlag sowohl die schützende Netzgrenze als auch den Fernzugriffsweg der Nutzer.

Wer ist betroffen?

Betroffen ist eine Appliance nur dann, wenn zwei Bedingungen zusammenkommen: Erstens muss eine verwundbare Software-Version laufen. Zweitens muss mindestens eine der relevanten Fernzugriffs-Funktionen aktiviert sein, die einen sogenannten SSL-Listen-Socket öffnet – also einen Dienst, der auf eingehende verschlüsselte Verbindungen aus dem Internet lauscht.

Verwundbare Software-Versionen:

• Cisco Secure Firewall ASA: 9.16, 9.18, 9.20, 9.22, 9.23 und 9.24
• Cisco Secure Firewall FTD: 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0

Relevante aktivierte Funktionen:

• IKEv2 Remote Access VPN mit Client Services (Konfigurationsmuster: crypto ikev2 enable <interface_name> client-services port <port_numbers>)
• SSL VPN (WebVPN) (Konfigurationsmuster: webvpn mit enable <interface_name>)
• bei FTD zusätzlich ZTNA (Zero Trust Network Access, Konfigurationsmuster: zero-trust / enable)

Gute Nachricht für einen Teil der Nutzer: Das Secure Firewall Management Center (FMC) ist laut Cisco nicht betroffen. Läuft eine verwundbare Version, aber keine der genannten Funktionen ist aktiv, erfüllt das Gerät die Konfigurationsbedingung ebenfalls nicht.

Und noch eine klare Abgrenzung für kleine und mittlere Unternehmen: Wer gar keine Cisco-ASA- oder FTD-Firewall betreibt, ist von dieser konkreten Lücke nicht unmittelbar betroffen. Entscheidend ist aber, dass Sie das auch wirklich sicher wissen – gerade wenn Ihre IT-Infrastruktur teilweise oder ganz ausgelagert ist.

So prüfen Sie, ob Sie betroffen sind

1. Inventar erstellen. Erfassen Sie sofort alle eigenen und von Dienstleistern betriebenen Cisco Secure Firewall ASA- und FTD-Appliances. Notieren Sie pro Gerät: Modell, Seriennummer, Managementform, Standort, öffentliche IP/FQDN, zuständiges Team und ob es Fernzugriff bereitstellt. Betreiben Sie selbst keine Cisco-Firewall? Dann fragen Sie Ihren Hoster, Managed-Service-Provider (MSP) und VPN-Dienstleister schriftlich nach ASA-/FTD-Remote-Access-Instanzen in Ihrem Mandanten.
2. Laufende Version ermitteln. Stellen Sie die tatsächlich laufende ASA- oder FTD-Release-Version fest. Cisco stellt dafür seinen Software Checker bereit – dort können Sie Produkt, Plattform und Release wählen oder die Ausgabe des Befehls show version einfügen. Prüfen Sie den laufenden Stand jedes einzelnen HA-Mitglieds (bei redundant ausgelegten Systemen), nicht nur eine geplante Zielversion.
3. Funktionen prüfen. Kontrollieren Sie, ob eine der drei relevanten Funktionen aktiv ist. Auf ASA zeigt show running-config die genannten Muster. Auf FTD prüfen Sie den Fernzugriff im FMC unter Devices > VPN > Remote Access beziehungsweise im FDM unter Remote Access VPN sowie ZTNA.
4. Erreichbarkeit aus dem Internet prüfen. Stellen Sie fest, ob die zugehörigen SSL-Dienste aus dem Internet erreichbar sind – etwa über die bekannte öffentliche VPN-URL, Firewall-Regeln und DNS-Einträge. Führen Sie dabei keinen eigenen Angriffstest mit präparierten Anfragen durch.
5. Abgleich mit Cisco. Vergleichen Sie Release, Plattform und aktivierte Funktion mit Ciscos Advisory und dem Software Checker. Bei einem Treffer behandeln Sie das Gerät als hochpriorisiert verwundbar – die aktive Ausnutzung ist bestätigt, und einen Workaround gibt es nicht.
6. Logs sichten. Werten Sie seit Anfang August 2026 Firewall-, VPN-, Syslog- und Monitoring-Daten auf unerwartete Neustarts, Failover-Ereignisse, Dienstunterbrechungen und auffällige HTTP-Anfragen gegen den Fernzugriffs-Dienst aus. Cisco veröffentlicht keine spezifischen Indikatoren (IOCs); unerklärliche Reloads sind daher ein Untersuchungsanlass, aber kein alleiniger Beweis. Bewahren Sie relevante Logs und Crash-Dumps beweissicher auf.

Das müssen Sie jetzt tun

Weil aktive Angriffe bestätigt sind und es keinen Workaround gibt, ist das kontrollierte Einspielen des richtigen Cisco-Hotfixes die zentrale Maßnahme. Cisco stellt die Updates über das Cisco Software Center bereit.

ASA-Zielversionen der Hotfixes (je nach Zweig): 89.16.4.50, 89.18.4.50, 9.20.4.235, 9.22.3.191, 9.23.1.211 und 9.24.1.221.

FTD-Zielstände: 7.0.9.1, 7.2.11.1, 7.4.7.1, 7.6.4.1, 7.7.11.1 und 10.0.0.1.

1. Priorisiert patchen. Aktualisieren Sie alle bestätigten, internetexponierten ASA-/FTD-Instanzen mit aktivierter relevanter Funktion vorrangig auf den für Zweig und Plattform vorgesehenen Hotfix. Planen und testen Sie den Vorgang mit Ihrem Cisco-Partner oder dem Cisco TAC – insbesondere bei Hochverfügbarkeits-Setups, damit nicht beide Knoten gleichzeitig ausfallen.
2. Nach dem Update verifizieren. Prüfen Sie auf jedem Knoten die tatsächlich laufende behobene Version und die Wiederherstellung von VPN, ZTNA, Routing, Monitoring und HA. Dokumentieren Sie Zeitpunkt, Gerät, Vorher-/Nachher-Version, Paket-Hash nach Herstellerangabe, Testergebnis und Rollback-Plan.
3. Kein Patch-Ersatz durch Behelfslösungen. Cisco nennt ausdrücklich keinen Workaround. Falls sofortiges Patchen nicht möglich ist, kann eine zeitlich begrenzte Reduktion der Angriffsfläche – etwa das Deaktivieren nicht benötigter Fernzugriffs-Funktionen oder die Beschränkung der Erreichbarkeit auf legitime Quellnetze – den Angriffsraum verkleinern. Das kann jedoch den Geschäftsbetrieb beeinträchtigen und beseitigt die Schwachstelle nicht.
4. Öffentliche VPN-Gateways zuerst. Das kanadische Cyber-Sicherheitszentrum empfiehlt ausdrücklich, internetzugängliche ASA-/FTD-Systeme mit Fernzugriff zu identifizieren, exponierte Systeme vorrangig zu beheben und Gateway-Logs auf Störungen sowie versuchte Ausnutzung zu überwachen.
5. Erkennung nutzen. Cisco verlinkt zu den Snort Rules 46897 und 59654 – prüfen und aktivieren Sie diese nach Ihrem Change-Prozess. Ergänzen Sie Alarme für unerwartete Reloads, Failover und den Verlust von VPN-Endpunkten. Detection reduziert aber nicht die Verwundbarkeit und ersetzt den Hotfix nicht.
6. Verantwortlichkeiten klären. Vermerken Sie eindeutig, ob ein externer MSP, Hoster oder Konzernnetzbetreiber patchverantwortlich ist – und verlangen Sie einen schriftlichen Nachweis des behobenen Versionsstands.

Einordnung und DSGVO-Relevanz

CISA hat im KEV-Katalog den 14. August 2026 als Frist (dueDate) hinterlegt. Wichtig für deutsche Unternehmen: Diese Frist gilt für US-Bundesbehörden (BOD 26-04) und ist keine unmittelbar geltende deutsche Rechtsfrist. Sie ist aber ein deutliches Dringlichkeitssignal – die Behörden schätzen die Gefahr als hoch und akut ein.

Eine ungepatchte Schwachstelle ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Der Europäische Datenschutzausschuss (EDPB) stellt klar: Nicht jeder Sicherheitsvorfall ist zugleich eine Verletzung des Schutzes personenbezogener Daten. Bei einem tatsächlich eingetretenen DoS muss der Verantwortliche jedoch dokumentiert bewerten, ob personenbezogene Daten betroffen waren und ob daraus voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht.

Relevant sind hier vor allem:

• Art. 32 DSGVO verlangt risikoadäquate Maßnahmen – ausdrücklich auch die dauerhafte Fähigkeit zur Sicherstellung von Verfügbarkeit und Belastbarkeit sowie eine rasche Wiederherstellung nach einem technischen Zwischenfall.
• Art. 33 DSGVO: Liegt eine Datenschutzverletzung mit voraussichtlichem Risiko vor, ist sie unverzüglich, möglichst binnen 72 Stunden, der Aufsichtsbehörde zu melden. Alle Datenschutzverletzungen sind zu dokumentieren.
• Art. 34 DSGVO: Bei voraussichtlich hohem Risiko sind Betroffene unverzüglich zu benachrichtigen.

Der Bußgeldrahmen nach Art. 83 Abs. 4 DSGVO für Verstöße gegen Pflichten aus den Art. 25 bis 39 reicht bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Zur Einordnung: Der BfDI verhängte 2019 gegen 1&1 Telecom 9,55 Mio. Euro wegen aus Behördensicht unzureichender technisch-organisatorischer Maßnahmen nach Art. 32 DSGVO. Dieser Fall betraf jedoch die telefonische Kundenauthentifizierung, nicht eine Firewall-Lücke, und belegt keine Bußgeldfolge für CVE-2026-20349 – er zeigt lediglich, wie ernst angemessene Sicherheitsmaßnahmen genommen werden. Diese Einordnung ist keine Rechtsberatung; im konkreten Vorfall sollten Sie Ihren Datenschutzbeauftragten und gegebenenfalls spezialisierte Rechtsberatung einbinden.

Was die Zahlen (nicht) sagen

Eine belastbare öffentliche Gesamtzahl verwundbarer Installationen, betroffener deutscher Unternehmen oder betroffener Datensätze wurde bislang von keiner der offiziellen Quellen (Cisco, CISA, kanadisches Cyber-Zentrum) veröffentlicht. CyCognito nennt für seine – nicht näher quantifizierte – Beobachtungsmenge Branchenanteile von 27,0 % Industrie, 14,2 % Konsumgüter und 12,7 % IT. Ohne bekannte Grundgesamtheit ist das jedoch keine hochrechenbare Statistik für den deutschen Markt.

Fazit

CVE-2026-20349 ist eine ernste, aktiv ausgenutzte Schwachstelle mit einem einfachen, aber wirksamen Angriffsmuster: eine unauthentisierte Anfrage, ein erzwungener Neustart, ein ausgefallenes VPN-Gateway. Für KMU mit einer internetexponierten Cisco-ASA- oder FTD-Appliance auf verwundbarem Stand und aktivem Fernzugriff ist das Risiko hoch und zeitkritisch. Der wahrscheinliche Schaden ist zwar „nur“ ein Ausfall – aber ein Ausfall der Netzgrenze und des Fernzugangs kann Website-Betrieb, Fernwartung, Cloud-Zugänge, Kundensupport und Warenwirtschaft lahmlegen.

Handeln Sie deshalb jetzt: Verschaffen Sie sich Klarheit über Ihre Geräte, prüfen Sie Version und aktivierte Funktionen, und spielen Sie den passenden Cisco-Hotfix kontrolliert ein. Nutzen Sie ausgelagerte Infrastruktur, verlangen Sie einen schriftlichen Nachweis über den behobenen Versionsstand. Wer keine Cisco-ASA- oder FTD-Firewall betreibt, ist von dieser Lücke nicht unmittelbar betroffen – sollte sich aber gerade deshalb versichern, dass diese Annahme wirklich stimmt.