Crasht Cisco ASA-firewalls met een enkel HTTP-verzoek

Wat CISA heeft toegevoegd en waarom het ertoe doet

Op 11 augustus 2026 voegde de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-20349 toe aan zijn Known Exploited Vulnerabilities-catalogus, en bevestigde daarmee dat het lek in Cisco's Secure Firewall Adaptive Security Appliance (ASA) en Secure Firewall Threat Defense (FTD) software actief wordt misbruikt, en niet slechts theoretisch gevaarlijk is. Cisco beoordeelt het lek met 8,6 op de CVSS-schaal en herleidt de oorzaak tot onvoldoende foutcontrole bij het verwerken van HTTP-verzoeken, een categorie fouten die vaker wordt afgedaan als stabiliteitsprobleem dan als kop van een beveiligingsbericht.

Precies daarom is de KEV-vermelding het signaal om serieus te nemen. CISA neemt geen lekken op in de catalogus omdat een leverancier een advisory publiceert, maar omdat er bewijs is dat aanvallers het lek al daadwerkelijk tegen echte netwerken gebruiken. Een niet-geauthenticeerde aanvaller op afstand die een enkel geprepareerd HTTP-verzoek naar de Remote Access SSL VPN-dienst van een kwetsbaar apparaat stuurt, kan dat apparaat dwingen te herstarten, en Cisco heeft bevestigd dat er geen workaround bestaat: patchen is de enige manier om van de lijst met blootgestelde apparaten af te komen.

Waarom een denial-of-service-lek een termijn van drie dagen krijgt

Een kwetsbaarheid die een apparaat alleen laat crashen, zonder een aanvaller codeuitvoering te geven, wordt vaak lager geprioriteerd dan verdiend is. Dat instinct gaat voorbij aan wat ASA- en FTD-apparaten daadwerkelijk doen aan de rand van een groot deel van de Europese bedrijfs- en overheidsnetwerken: ze beëindigen VPN-verbindingen, precies de functie die dit lek raakt. Voor elke organisatie die voor haar hybride of verspreide personeelsbestand op een enkel ASA- of FTD-paar vertrouwt als enige toegangsroute op afstand, snijdt een aanvaller die dat apparaat op afroep kan laten crashen, en na elke herstart opnieuw, in de praktijk de toegang op afstand voor de hele organisatie af, zonder ooit een inloggegeven aan te raken.

De Binding Operational Directive van CISA geeft Amerikaanse federale civiele instanties slechts enkele dagen, niet het gebruikelijke patchschema, om lekken uit de KEV-catalogus te verhelpen, en in dit geval viel die deadline op 14 augustus 2026, amper drie dagen na de toevoeging. Beschouw die termijn als de maatstaf. Een denial-of-service-classificatie op papier verandert niets aan het feit dat dit voor elk netwerk waar ASA of FTD de voordeur vormt, een bedreiging voor de bedrijfscontinuïteit is.

Welke configuraties zijn kwetsbaar

Het lek raakt niet elke ASA- of FTD-installatie in gelijke mate. Cisco's advisory beperkt de blootstelling tot apparaten waarop SSL VPN is ingeschakeld, IKEv2 remote-access VPN met clientdiensten is geconfigureerd, of Zero Trust Network Access actief is: configuraties die specifiek zijn gebouwd om medewerkers en externe partners op afstand toegang te geven tot interne systemen. Een apparaat zonder deze functies, dat puur als site-to-site firewall draait zonder remote-access VPN, is door dit specifieke lek niet kwetsbaar.

De getroffen code zit in meerdere actueel uitgeleverde ASA- en FTD-releaselijnen, en daarom biedt Cisco geen versiespecifieke workaround, maar verwijst het elke getroffen klant rechtstreeks naar de gepatchte builds. Aangezien SSL VPN en IKEv2 remote access juist vaak worden ingeschakeld omdat een organisatie ze nodig heeft voor een hybride personeelsbestand, is de praktische blootstelling onder Europese ASA- en FTD-installaties aan de netwerkrand vermoedelijk eerder regel dan uitzondering.

Twee andere lekken in dezelfde KEV-batch

CISA voegde op 11 augustus niet alleen CVE-2026-20349 toe. Dezelfde batch bevatte ook CVE-2026-68820, een use-after-free in de Windows Ancillary Function Driver voor WinSock waarmee een lokale aanvaller kan opschalen naar SYSTEM-rechten, en die onderzoekers koppelen aan de Noord-Koreaanse Lazarus-groep en de inzet van diens FudModule-rootkit. Ook CVE-2026-72898 zat in de batch: een SQL-injectie in het business-intelligenceplatform Metabase met de maximale CVSS-score van 10,0, uit te buiten zonder authenticatie via het wachtwoordherstel-eindpunt, wat volledige beheerderstoegang oplevert, en van daaruit elke databasecredential die Metabase heeft opgeslagen voor de systemen waarmee het platform verbinding maakt.

Drie niet-verwante producten, drie verschillende aanvallersprofielen, een KEV-batch op een enkele dag. Dat patroon is precies het punt: de catalogus van CISA volgt geen enkele campagne, maar registreert wat aanvallers op dit moment gebruiken tegen welke software hen ook maar de snelste weg naar binnen biedt, of die weg nu loopt via de VPN-dienst van een firewall, een Windows-kerneldriver, of het wachtwoordherstelformulier van een dashboard.

De checklist voor verantwoordelijken

Als uw organisatie ergens aan de netwerkrand Cisco ASA of FTD gebruikt, is de eerste stap niet het lezen van de advisory, maar het controleren van de configuratie. Ga na of SSL VPN, IKEv2 remote-access VPN met clientdiensten, of Zero Trust Network Access op elk apparaat is ingeschakeld, want dat antwoord bepaalt of dit specifieke lek u raakt. Is een van die functies actief, behandel de patch dan als verschuldigd volgens het tijdschema van CISA, niet volgens het eerstvolgende kwartaalonderhoudsvenster dat uw gebruikelijke changemanagementproces toestaat.

Dit is een aparte kwetsbaarheid, los van het inloggegevenslek in Cisco Secure Firewall Management Center dat CISA in juli 2026 aan dezelfde catalogus toevoegde, en ook los van de achttien jaar oude SNMP-fout die de maand daarvoor werd gemeld. Drie afzonderlijke Cisco-vermeldingen in de KEV-catalogus binnen zes weken zijn geen toeval om te negeren: het is een reden om Cisco-randapparatuur structureel bovenaan de patchwachtrij te zetten, niet als eenmalige reactie op dit ene bulletin.

Lees hierna: Uw MSP-tool heeft een tweede bypass-fout  |  45.601 lekken, 171 worden echt misbruikt