Cosa ha aggiunto CISA e perché conta

L'11 agosto 2026 l'agenzia statunitense per la cybersicurezza e le infrastrutture (CISA) ha inserito il CVE-2026-20349 nel proprio catalogo Known Exploited Vulnerabilities, confermando che la falla nel software Cisco Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD) viene attivamente sfruttata, e non è soltanto un rischio teorico. Cisco la valuta 8,6 sulla scala CVSS e ne individua la causa in un controllo insufficiente degli errori durante l'elaborazione delle richieste HTTP: una categoria di bug che di solito finisce archiviata come semplice fastidio di stabilità, non come evento di sicurezza da prima pagina.

Ed è proprio per questo che l'inserimento nel KEV è il segnale da leggere con attenzione. CISA non aggiunge falle al catalogo perché un fornitore ha pubblicato un bollettino, ma perché dispone di prove che attaccanti reali le stanno già sfruttando contro reti reali. Un attaccante remoto e non autenticato che invia un'unica richiesta HTTP appositamente costruita al servizio VPN SSL ad accesso remoto di un dispositivo vulnerabile può forzarne il riavvio, e Cisco ha confermato che non esiste alcuna soluzione alternativa: applicare la patch è l'unico modo per uscire dall'elenco dei dispositivi esposti.

Perché un bug di denial-of-service ottiene una scadenza di tre giorni

Una vulnerabilità che si limita a bloccare un dispositivo, invece di concedere a un attaccante l'esecuzione di codice, tende a essere classificata con una priorità più bassa di quella che meriterebbe. Questo istinto ignora cosa fanno davvero le appliance ASA e FTD al margine di gran parte delle reti aziendali e governative europee: terminano le connessioni VPN, che è esattamente la funzione colpita da questa falla. Per qualunque organizzazione che si affidi a un'unica coppia ASA o FTD come sola via di accesso remoto per una forza lavoro ibrida o distribuita, un attaccante capace di mandare in crash quel dispositivo a piacimento, e di rifarlo dopo ogni riavvio, ha di fatto interrotto l'accesso remoto per l'intera organizzazione senza mai toccare una credenziale.

La Binding Operational Directive di CISA concede alle agenzie civili federali statunitensi pochi giorni, non il consueto ciclo di patch, per porre rimedio alle falle inserite nel catalogo KEV: in questo caso la scadenza è caduta il 14 agosto 2026, appena tre giorni dopo l'inserimento. Consideratela il metro di riferimento. Una classificazione da denial-of-service sulla carta non cambia il fatto che, per qualsiasi rete in cui ASA o FTD costituisce la porta d'ingresso, questa sia una minaccia alla continuità operativa.

Quali configurazioni sono esposte

La falla non colpisce tutte le installazioni ASA o FTD allo stesso modo. Il bollettino di Cisco circoscrive l'esposizione ai dispositivi con SSL VPN attiva, VPN ad accesso remoto IKEv2 configurata con servizi client, oppure Zero Trust Network Access abilitato: configurazioni pensate proprio per consentire a dipendenti e collaboratori remoti di raggiungere le risorse interne. Un dispositivo privo di queste funzioni, che opera esclusivamente come firewall site-to-site senza VPN ad accesso remoto, non è esposto da questo bug specifico.

Il codice vulnerabile attraversa più rami di rilascio ASA e FTD attualmente distribuiti, motivo per cui Cisco non offre una scorciatoia di mitigazione legata a una versione specifica, ma indirizza ogni cliente interessato direttamente alle build già corrette. Dato quanto spesso SSL VPN e IKEv2 ad accesso remoto siano attivi proprio perché un'organizzazione ne ha bisogno per una forza lavoro ibrida, tra le installazioni europee che usano ASA o FTD al perimetro l'esposizione pratica è probabilmente la regola, non l'eccezione.

Altre due falle nello stesso lotto KEV

L'11 agosto CISA non ha aggiunto solo il CVE-2026-20349. Lo stesso lotto includeva il CVE-2026-68820, una use-after-free nell'Ancillary Function Driver di Windows per WinSock che consente a un attaccante locale di elevare i propri privilegi fino a SYSTEM, e che i ricercatori hanno collegato al gruppo nordcoreano Lazarus nell'ambito della diffusione del suo rootkit FudModule. Comprendeva anche il CVE-2026-72898, una SQL injection nella piattaforma di business intelligence Metabase con il punteggio massimo di CVSS 10,0, sfruttabile senza autenticazione tramite l'endpoint di reset della password per ottenere il pieno accesso da amministratore, e da lì ogni credenziale di database che Metabase custodisce per i sistemi a cui si collega.

Tre prodotti senza alcun legame tra loro, tre profili di attaccante diversi, un unico lotto KEV in un solo giorno. Ed è proprio questo lo schema che conta: il catalogo di CISA non segue un'unica campagna, ma tutto ciò che gli attaccanti stanno usando in un dato momento contro qualsiasi software offra loro la via d'accesso più rapida, che passi per il servizio VPN di un firewall, un driver del kernel di Windows o il modulo di reset password di una dashboard.

La checklist per chi gestisce l'infrastruttura

Se la vostra organizzazione utilizza Cisco ASA o FTD in un qualunque punto del perimetro di rete, il primo compito non è leggere il bollettino, ma verificare la configurazione. Controllate se su ciascuna appliance sono attivi SSL VPN, VPN ad accesso remoto IKEv2 con servizi client, oppure Zero Trust Network Access, perché è questa risposta a stabilire se la falla vi riguardi o meno. Se anche una sola di queste funzioni è attiva, trattate la patch come dovuta secondo i tempi di CISA, non secondo la prossima finestra di manutenzione trimestrale prevista dal vostro normale processo di change management.

Si tratta di una vulnerabilità distinta dalla falla nelle credenziali del Cisco Secure Firewall Management Center che CISA ha aggiunto allo stesso catalogo nel luglio 2026, e distinta ancora dal bug SNMP vecchio di diciotto anni segnalato il mese precedente. Tre voci Cisco separate nel catalogo KEV nel giro di sei settimane non sono una coincidenza da ignorare: sono un motivo per collocare stabilmente i dispositivi perimetrali Cisco in cima alla coda delle patch, come politica permanente e non come risposta isolata a questo singolo bollettino.

Da leggere ora: Lo strumento RMM del tuo MSP ha un secondo bypass  |  45.601 falle, solo 171 vengono davvero usate