Cisco Peringatkan Celah VPN ASA dan FTD yang Dieksploitasi untuk Melumpuhkan Perangkat
Cisco memperingatkan adanya kerentanan high-severity pada Secure Firewall ASA dan Threat Defense (FTD) yang saat ini telah dieksploitasi dalam serangan untuk melakukan remote denial-of-service (DoS) terhadap perangkat yang rentan.
Kerentanan tersebut dilacak sebagai CVE-2026-20349 dan memiliki skor CVSS 8,6. Celah ini berdampak pada perangkat yang menjalankan Cisco Secure Firewall Adaptive Security Appliance (ASA) atau Secure Firewall Threat Defense (FTD) dengan layanan remote access tertentu dalam kondisi aktif.
Cisco mengatakan serangan dapat dilakukan dari jarak jauh tanpa memerlukan autentikasi maupun interaksi pengguna.
Celah Berasal dari Pemrosesan HTTP Request
CVE-2026-20349 disebabkan oleh insufficient error checking ketika software memproses HTTP request.
Attacker dapat mengeksploitasi kelemahan tersebut dengan mengirimkan HTTP request yang telah dirancang khusus ke layanan Remote Access SSL VPN pada perangkat yang terdampak.
Jika eksploitasi berhasil, perangkat dapat mengalami reload sehingga menyebabkan kondisi denial-of-service.
Cisco menjelaskan bahwa serangan dapat dilakukan secara remote tanpa authentication dan user interaction selama SSL listen sockets diaktifkan pada perangkat.
Artinya, perangkat firewall yang menyediakan layanan remote access tertentu melalui internet dapat menjadi target serangan tanpa attacker harus terlebih dahulu mendapatkan kredensial pengguna.
Konfigurasi VPN yang Rentan
Tidak semua konfigurasi Secure Firewall ASA dan FTD terdampak. Kerentanan hanya dapat dieksploitasi ketika konfigurasi tertentu digunakan.
Pada perangkat FTD, konfigurasi yang rentan mencakup IKEv2 Remote Access VPN dengan client services, SSL VPN, serta Zero Trust Network Access.
Cisco juga mengonfirmasi bahwa Secure Firewall Management Center (FMC) tidak terdampak oleh kerentanan ini.
Karena eksploitasi bergantung pada konfigurasi remote access tertentu, administrator perlu memeriksa layanan yang aktif pada perangkat firewall mereka untuk menentukan apakah sistem berada dalam kondisi yang dapat dieksploitasi.
Cisco Konfirmasi Eksploitasi Aktif
Yang membuat CVE-2026-20349 menjadi perhatian lebih serius adalah konfirmasi bahwa kerentanan tersebut sudah digunakan dalam serangan nyata.
Cisco melalui Product Security Incident Response Team (PSIRT) mengatakan mengetahui adanya active exploitation terhadap CVE-2026-20349 pada Agustus 2026.
Namun, Cisco belum mengungkapkan detail mengenai pihak yang berada di balik serangan tersebut maupun organisasi yang menjadi target.
Perusahaan juga belum memberikan informasi mengenai skenario eksploitasi yang diamati di lapangan.
Karena itu, saat ini belum diketahui apakah serangan dilakukan secara luas atau ditujukan kepada kelompok organisasi tertentu.
Cisco juga belum menyediakan indicators of compromise (IoC) yang dapat digunakan administrator untuk mendeteksi eksploitasi yang sedang berlangsung.
Hot Fix Telah Tersedia
Cisco telah merilis hot fix untuk sejumlah versi Secure Firewall ASA dan FTD yang terdampak.
Untuk ASA, perbaikan tersedia pada release 9.16, 9.18, 9.20, 9.22, 9.23, dan 9.24.
Sementara untuk FTD, hot fix tersedia untuk release 7.0, 7.2, 7.4, 7.6, 7.7, dan 10.0.
Cisco tidak menyediakan workaround untuk CVE-2026-20349.
Karena itu, perusahaan sangat merekomendasikan administrator melakukan upgrade ke software release yang telah diperbaiki untuk mengatasi kerentanan tersebut secara menyeluruh.
Administrator Perlu Memprioritaskan Pembaruan
CVE-2026-20349 memiliki kombinasi risiko yang cukup tinggi karena dapat dieksploitasi secara remote tanpa authentication atau user interaction, sementara Cisco juga telah mengonfirmasi adanya eksploitasi aktif.
Perangkat firewall yang menyediakan remote access VPN umumnya berada pada posisi yang langsung terhubung dengan jaringan eksternal. Kondisi tersebut membuat vulnerability pada layanan remote access memiliki potensi dampak yang lebih besar dibandingkan kelemahan yang hanya dapat dieksploitasi setelah attacker memperoleh akses internal.
Administrator yang menggunakan Cisco Secure Firewall ASA atau FTD sebaiknya segera memeriksa versi software dan konfigurasi remote access yang digunakan.
Jika perangkat menjalankan konfigurasi yang terdampak, upgrade ke release yang telah diperbaiki menjadi langkah utama karena tidak tersedia workaround untuk menutup kerentanan tersebut.
Pemantauan terhadap perangkat juga penting dilakukan untuk mendeteksi indikasi aktivitas mencurigakan, meskipun Cisco belum menyediakan IoC spesifik terkait eksploitasi CVE-2026-20349.
Ditemukan Melalui Pengujian Internal dan Peneliti Eksternal
Cisco mengatakan kerentanan tersebut ditemukan melalui internal security testing perusahaan.
Selain itu, vulnerability yang sama juga dilaporkan secara independen oleh peneliti keamanan Valerio Brussani.
Penemuan dari dua jalur tersebut menunjukkan bahwa kelemahan berada pada mekanisme pemrosesan request di software firewall dan kemudian ditangani Cisco melalui security update.
Namun, detail teknis mengenai exploit yang digunakan dalam serangan aktif belum dipublikasikan secara luas oleh Cisco.
Cisco Juga Hadapi Kerentanan ClamAV
Peringatan CVE-2026-20349 muncul tidak lama setelah Cisco mengungkap kerentanan lain yang memengaruhi Secure Endpoint Connector untuk Windows, Mac, dan Linux.
Produk tersebut terdampak oleh sejumlah vulnerability pada ClamAV yang memiliki public proof-of-concept exploit.
Berbeda dengan CVE-2026-20349, patch untuk kerentanan ClamAV yang berdampak pada Secure Endpoint Connector belum tersedia ketika advisory tersebut diterbitkan.
Cisco mengatakan pembaruan untuk masalah tersebut akan dirilis kemudian pada Agustus.
Untuk CVE-2026-20349 sendiri, Cisco telah menyediakan hot fix dan meminta pelanggan melakukan upgrade sesegera mungkin karena vulnerability tersebut telah diketahui dieksploitasi dalam serangan.
Sumber: Cisco
