Was die CISA aufgenommen hat und warum es wichtig ist

Am 11. August 2026 nahm die US-Behörde für Cybersicherheit und Infrastruktur (CISA) CVE-2026-20349 in ihren Known-Exploited-Vulnerabilities-Katalog auf und bestätigte damit, dass die Schwachstelle in Ciscos Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD) aktiv ausgenutzt wird - und nicht nur theoretisch gefährlich ist. Cisco bewertet sie mit 8,6 auf der CVSS-Skala und führt die Ursache auf unzureichende Fehlerprüfung bei der Verarbeitung von HTTP-Anfragen zurück, eine Fehlerklasse, die häufiger als Stabilitätsproblem abgetan wird denn als Sicherheitsschlagzeile behandelt.

Genau deshalb ist die Aufnahme in den KEV-Katalog das eigentliche Signal. Die CISA nimmt Schwachstellen nicht deshalb auf, weil ein Hersteller ein Advisory veröffentlicht hat, sondern weil ihr Belege vorliegen, dass echte Angreifer die Lücke bereits gegen echte Netzwerke einsetzen. Ein unauthentifizierter, entfernter Angreifer, der eine einzige präparierte HTTP-Anfrage an den Remote-Access-SSL-VPN-Dienst eines betroffenen Geräts sendet, kann damit einen Neustart erzwingen, und Cisco hat bestätigt, dass kein Workaround existiert - patchen ist der einzige Weg, ein Gerät von der Liste der exponierten Systeme zu streichen.

Warum eine Denial-of-Service-Lücke eine Drei-Tage-Frist bekommt

Eine Schwachstelle, die ein Gerät nur zum Absturz bringt, statt einem Angreifer Codeausführung zu verschaffen, wird oft niedriger priorisiert, als sie es verdient. Dieser Reflex übersieht, was ASA- und FTD-Appliances am Rand eines großen Teils der EU-Unternehmens- und Behördennetze tatsächlich leisten: Sie terminieren VPN-Verbindungen - genau die Funktion, die diese Lücke angreift. Für jede Organisation, die sich auf ein einziges ASA- oder FTD-Paar als alleinigen Fernzugriffsweg für eine hybride oder verteilte Belegschaft verlässt, hat ein Angreifer, der dieses Gerät nach Belieben abstürzen lassen kann - und nach jedem Neustart erneut -, den Fernzugriff der gesamten Organisation faktisch gekappt, ohne dabei auch nur einen einzigen Zugangsdatensatz anzutasten.

Die Binding Operational Directive der CISA räumt US-Bundesbehörden für in den KEV-Katalog aufgenommene Lücken nur wenige Tage ein, statt des üblichen Patch-Zyklus - und in diesem Fall fiel die Frist auf den 14. August 2026, nur drei Tage nach der Aufnahme. Genau diese Frist sollte als Maßstab gelten. Eine Denial-of-Service-Einstufung auf dem Papier ändert nichts daran, dass dies für jedes Netzwerk, in dem ASA oder FTD die Eingangstür bildet, ein Ausfall der Geschäftskontinuität ist.

Welche Konfigurationen betroffen sind

Die Lücke betrifft nicht jede ASA- oder FTD-Installation gleichermaßen. Ciscos Advisory grenzt die Betroffenheit auf Geräte ein, bei denen SSL-VPN aktiviert ist, IKEv2-Remote-Access-VPN mit Client-Diensten konfiguriert ist oder Zero Trust Network Access eingeschaltet ist - Konfigurationen, die gezielt dafür gebaut sind, entfernten Mitarbeitern und Auftragnehmern Zugriff auf interne Ressourcen zu geben. Ein Gerät ohne diese Funktionen, das rein als Site-to-Site-Firewall ohne Remote-Access-VPN läuft, ist von dieser konkreten Lücke nicht betroffen.

Der betroffene Code zieht sich durch mehrere derzeit ausgelieferte ASA- und FTD-Releasezweige, weshalb Cisco keine versionsspezifische Abkürzung anbietet, sondern jeden betroffenen Kunden direkt auf die gepatchten Builds verweist. Da SSL-VPN und IKEv2-Fernzugriff gerade deshalb häufig aktiviert sind, weil eine Organisation sie für eine hybride Belegschaft braucht, dürfte die praktische Betroffenheit unter EU-Installationen mit ASA oder FTD am Perimeter eher die Regel als die Ausnahme sein.

Zwei weitere Lücken im selben KEV-Paket

Die CISA nahm CVE-2026-20349 am 11. August nicht allein auf. Im selben Paket enthalten war CVE-2026-68820, eine Use-after-free-Schwachstelle im Windows Ancillary Function Driver für WinSock, die einem lokalen Angreifer die Eskalation auf SYSTEM-Rechte erlaubt und die Forscher mit Nordkoreas Lazarus-Gruppe und deren FudModule-Rootkit in Verbindung bringen. Ebenfalls enthalten war CVE-2026-72898, eine SQL-Injection in der Business-Intelligence-Plattform Metabase mit der maximalen CVSS-Bewertung von 10,0, die sich ohne Authentifizierung über den Passwort-Reset-Endpunkt ausnutzen lässt und vollen Administratorzugriff verschafft - und von dort aus Zugriff auf sämtliche Zugangsdaten, die Metabase für die angebundenen Systeme gespeichert hat.

Drei voneinander unabhängige Produkte, drei unterschiedliche Angreiferprofile, ein KEV-Paket an einem einzigen Tag. Genau darin liegt der Punkt: Der CISA-Katalog verfolgt keine einzelne Kampagne, sondern das, was Angreifer gerade gegen jede Software einsetzen, die ihnen den schnellsten Weg hinein bietet - ob dieser Weg über den VPN-Dienst einer Firewall, einen Windows-Kerneltreiber oder das Passwort-Reset-Formular eines Dashboards führt.

Die Checkliste für Verantwortliche

Betreibt Ihre Organisation irgendwo am Netzwerkperimeter Cisco ASA oder FTD, ist die erste Aufgabe nicht das Lesen des Advisorys, sondern die Prüfung der Konfiguration. Stellen Sie fest, ob auf jeder Appliance SSL-VPN, IKEv2-Remote-Access-VPN mit Client-Diensten oder Zero Trust Network Access aktiviert ist, denn diese Antwort entscheidet, ob diese konkrete Lücke Sie überhaupt betrifft. Ist eine dieser Funktionen aktiv, behandeln Sie den Patch als fällig nach dem Zeitplan der CISA, nicht nach dem nächsten regulären Wartungsfenster Ihres Change-Managements.

Dies ist eine eigenständige Schwachstelle, verschieden von der Zugangsdaten-Lücke im Cisco Secure Firewall Management Center, die die CISA im Juli 2026 in denselben Katalog aufnahm, und ebenso verschieden von der achtzehn Jahre alten SNMP-Lücke, die einen Monat zuvor gemeldet wurde. Drei getrennte Cisco-Einträge im KEV-Katalog innerhalb von sechs Wochen sind kein Zufall, den man ignorieren sollte - sie sind ein Grund, Cisco-Perimetergeräte dauerhaft an die Spitze der Patch-Warteschlange zu setzen, nicht nur einmalig auf dieses eine Bulletin zu reagieren.

Weiterlesen: Das RMM-Tool Ihres MSP hat eine zweite Bypass-Lücke  |  45.601 Lücken, 171 werden wirklich genutzt