Cisco ASA et FTD : une requête HTTP peut redémarrer le pare-feu à distance
Une faille du service VPN SSL des pare-feu Cisco ASA et FTD permet à un inconnu de provoquer leur redémarrage par une simple requête. La CISA la déclare exploitée : le correctif est à installer vite.
Pour les pros
Pour les professionnels
Exploitée, catalogue KEV
Correctif disponible, 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47, 9.24.1.26, 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2, 10.1.0
CVE-2026-20349
- Nature
- traitement insuffisant des erreurs dans le service VPN SSL, provoquant un redémarrage de l’appareil (déni de service) sans authentification
- CVSS v3.1, gravité
- CVSS8,6
- Corrigé dans
- 9.16.4.103
- 9.18.4.94
- 9.20.4.49
- 9.22.3.26
- 9.23.1.47
- 9.24.1.26
- 7.0.10
- 7.2.12
- 7.4.8
- 7.6.6
- 7.7.13
- 10.0.2
- 10.1.0
- Versions touchées
- adaptive_security_appliance_software : 9.16.1
- adaptive_security_appliance_software : 9.16.1.28
- adaptive_security_appliance_software : 9.16.2
- adaptive_security_appliance_software : 9.16.2.3
- adaptive_security_appliance_software : 9.16.2.7
- adaptive_security_appliance_software : 9.16.2.11
- adaptive_security_appliance_software : 9.16.2.13
- adaptive_security_appliance_software : 9.16.2.14
- adaptive_security_appliance_software : 9.16.3
- adaptive_security_appliance_software : 9.16.3.3
- adaptive_security_appliance_software : 9.16.3.14
- adaptive_security_appliance_software : 9.16.3.15
- adaptive_security_appliance_software : 9.16.3.19
- adaptive_security_appliance_software : 9.16.3.23
- adaptive_security_appliance_software : 9.16.4
- adaptive_security_appliance_software : 9.16.4.9
- adaptive_security_appliance_software : 9.16.4.14
- adaptive_security_appliance_software : 9.16.4.19
- adaptive_security_appliance_software : 9.16.4.27
- adaptive_security_appliance_software : 9.16.4.38
- Vecteur CVSS v3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H- EPSS (24/10)
- EPSS1,0 % (62e centile)
- Catalogue KEV
- KEVExploitéeoui, ajoutée le 11/08
Ce qu'on sait de l'exploitation
CVE-2026-20349 est inscrite au catalogue des vulnérabilités exploitées (KEV) de la CISA depuis le 11 août 2026. L’agence a fixé au 14 août 2026 l’échéance pour appliquer les mesures de l’éditeur. L’usage par des rançongiciels est indiqué comme inconnu dans le catalogue.
À faire, dans l'ordre
Vérifier si vos pare-feu ASA ou FTD exposent le service d’accès distant VPN SSL.
Pour ASA, installer la version corrigée de votre branche : 9.16.4.103, 9.18.4.94, 9.20.4.49, 9.22.3.26, 9.23.1.47 ou 9.24.1.26.
Pour FTD, installer 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 ou 10.1.0 selon votre branche, d’après l’avis de sécurité de Cisco.
Appliquer les mesures de l’éditeur demandées par la CISA, ou cesser d’utiliser le produit si elles sont indisponibles.
En clair
Pour tout le monde
Les pare-feu Cisco ASA et FTD protègent le réseau de nombreuses organisations et offrent un accès VPN à distance. Une faille permet à quelqu’un d’envoyer depuis Internet une requête truquée qui fait redémarrer l’appareil, sans identifiant. L’accès VPN et la protection du réseau peuvent alors tomber en panne. La CISA constate déjà des attaques. Si vous gérez un tel équipement, installez la version corrigée de votre branche.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Fiches CVE
- Exploitation confirmée
- Scores EPSS
Sources (4)
- Fiches CVEAutoritéCVE-2026-20349 sur CVE.org (site externe, nouvel onglet)cve.org
- Fiches CVEAutoritéCVE-2026-20349 dans la NVD (site externe, nouvel onglet)nvd.nist.gov
- Exploitation confirméeAutoritéCISA, catalogue des vulnérabilités exploitées (KEV) (site externe, nouvel onglet)cisa.gov
- Scores EPSSAutoritéFIRST, Exploit Prediction Scoring System (site externe, nouvel onglet)first.org