CVE-2026-20349 : Cisco ASA/FTD SSL VPN DoS CVSS 8.6 — CISA KEV

Les faits

Le 11 août 2026, Cisco a publié un advisory de sécurité concernant CVE-2026-20349, une vulnérabilité de type heap inspection affectant le service SSL VPN de Cisco Adaptive Security Appliance (ASA) et Cisco Firewall Threat Defense (FTD). Le même jour, la CISA a ajouté cette faille à son catalogue des vulnérabilités connues exploitées (KEV), attestant d'une exploitation active constatée dans la nature contre des équipements exposés sur Internet.

CVE-2026-20349 tire son origine d'un contrôle d'erreurs insuffisant dans le traitement des requêtes HTTP reçues par le service Remote Access SSL VPN des appliances Cisco ASA et FTD. Un attaquant non authentifié, disposant d'un accès réseau au port SSL VPN (généralement TCP/443 ou TCP/8443), peut envoyer des requêtes HTTP spécialement forgées pour provoquer une corruption de la mémoire heap du processus VPN. Cette corruption entraîne un rechargement non planifié du pare-feu, résultant en une condition de déni de service (DoS).

Le score CVSS v3.1 est de 8.6/10 (High), avec un score CVSSv4 de 8.7/10. Le vecteur CVSS indique une attaque réseau (AV:N), une complexité nulle (AC:L), aucun privilège requis (PR:N) et aucune interaction utilisateur (UI:N). L'impact principal est sur la disponibilité (A:H). Bien que l'impact immédiat soit un DoS, des chercheurs de SOC Prime et Security Arsenal ont noté que les conditions de corruption mémoire heap sous-jacentes pourraient théoriquement être chaînées avec d'autres vecteurs pour tenter une exploitation plus avancée dans de futures campagnes.

D'un point de vue technique, la vulnérabilité réside dans la routine de gestion des erreurs HTTP du démon VPN (webvpn). Lors du traitement d'une requête HTTP malformée, le code ne libère pas correctement les structures allouées sur le tas, créant une condition d'inspection de mémoire heap exploitable. La corruption résultante provoque une exception non gérée qui déclenche le rechargement de sécurité du système d'exploitation. L'appliance redémarre en quelques secondes, interrompant toutes les sessions VPN actives et tous les flux réseau transitant par le pare-feu.

Cisco a confirmé via son équipe PSIRT (Product Security Incident Response Team) avoir pris connaissance d'exploitations actives en août 2026, préalablement à la publication de l'advisory. Les attaques observées consistent en des vagues de requêtes HTTP malformées envoyées contre des interfaces SSL VPN exposées sur Internet, provoquant des rechargements répétés des appliances cibles. Ce pattern de DoS persistant peut rendre des pare-feux critiques complètement inopérants et perturber l'accès VPN de l'ensemble des utilisateurs distants d'une organisation, avec des impacts opérationnels et financiers significatifs.

Les versions affectées couvrent un large spectre de déploiements Cisco en production. Pour Cisco ASA : toutes les versions de 9.16 à 9.22.2 avec le service Remote Access SSL VPN activé. Pour Cisco FTD : les versions 7.0 à 10.0.0.0. Les correctifs publiés le 11 août 2026 couvrent toutes les branches actives. Pour ASA, les versions corrigées sont 9.16.4.89, 9.18.4.50, 9.20.4.235 et 9.22.3. Pour FTD, les correctifs sont disponibles dans les versions 7.0.9.1-1, 7.2.11.1-2, 7.4.7.1-1, 7.6.4.1-2, 7.7.11.1-2 et 10.0.0.1-2.

Cisco Talos Intelligence a publié des règles de détection Snort et Suricata compatibles le 12 août 2026, permettant aux organisations disposant d'une solution IDS/IPS de détecter les tentatives d'exploitation. Ces règles sont référencées dans le Cisco Security Advisory cisco-sa-asa-ftd-ssldos-2026-0811. La CISA a ajouté CVE-2026-20349 à son KEV Catalog avec la classification "Denial of Service" sous le vendor Cisco, produits ASA et FTD.

Il convient de noter que CVE-2026-20349 ne fournit pas d'accès aux données ou aux configurations de l'équipement. L'impact est exclusivement un déni de service par rechargement. Cependant, dans des contextes opérationnels critiques — notamment pour les organisations utilisant Cisco ASA comme unique point d'accès distant ou comme pare-feu périmétrique principal — des rechargements répétés peuvent avoir des conséquences graves : interruption des sauvegardes distantes, impossibilité de répondre à un incident de sécurité simultané, perte de sessions BGP provoquant des coupures réseau plus larges.

Impact et exposition

Toute organisation exploitant Cisco ASA ou FTD avec la fonctionnalité Remote Access SSL VPN activée est exposée à CVE-2026-20349. La condition d'exploitation est simple : l'interface SSL VPN doit être accessible réseau depuis l'attaquant, ce qui est le cas par définition pour un service VPN d'accès distant exposé sur Internet. L'attaque ne requiert aucune authentification, aucun compte valide et aucune interaction de l'utilisateur légitime.

Cisco ASA et FTD sont parmi les solutions de sécurité périmétrique les plus déployées au monde. L'exposition de leurs interfaces SSL VPN sur Internet les rend particulièrement visibles et attrayantes pour les acteurs de la menace. Selon Shodan, des centaines de milliers d'interfaces Cisco ASA SSL VPN sont accessibles publiquement, dont une fraction significative sur des versions non encore patchées. En France, Cisco ASA est largement déployé dans les secteurs public, défense, santé et OIV (opérateurs d'importance vitale) où la disponibilité des équipements de sécurité est critique.

L'impact immédiat d'une exploitation réussie est un déni de service entraînant le rechargement complet de l'appliance. Pour les organisations dépendant fortement du VPN pour le travail distant, les équipes en astreinte ou les connexions inter-sites, un DoS persistant peut paralyser l'activité. Dans un contexte de double incident — attaque DoS sur ASA combinée à une autre attaque nécessitant une réponse — la perte de connectivité VPN peut retarder gravement la réponse à incident.

Recommandations immédiates

• Cisco ASA : mettre à jour vers 9.16.4.89, 9.18.4.50, 9.20.4.235 ou 9.22.3 selon la branche active — Cisco Security Advisory cisco-sa-asa-ftd-ssldos-2026-0811
• Cisco FTD : mettre à jour vers 7.0.9.1-1, 7.2.11.1-2, 7.4.7.1-1, 7.6.4.1-2, 7.7.11.1-2 ou 10.0.0.1-2
• Mitigation temporaire : si le patch ne peut pas être appliqué immédiatement, restreindre l'accès à l'interface SSL VPN par liste blanche IP ou désactiver temporairement le service Remote Access VPN
• Déployer les règles Snort/Suricata publiées par Cisco Talos dans l'advisory du 12 août 2026 sur les sondes IDS/IPS en amont des appliances
• Surveiller les rechargements non planifiés répétés des appliances comme indicateur principal d'exploitation active (logs syslog : "%ASA-1-105004" ou messages crashinfo)
• Indicateurs de compromission : rechargements répétés de l'appliance en dehors des fenêtres de maintenance, pics de requêtes HTTP malformées dans les logs SSL VPN, messages d'erreur heap dans les fichiers crashinfo