Cisco ASA/FTD防火墙零日漏洞遭野外利用，SSL VPN无认证请求可致DoS瘫痪

云栈社区持续跟进边界网络安全动态，本文整理 Cisco PSIRT 官方通告要点，协助企业安全团队快速完成漏洞响应与修复。

事件概览

• 漏洞编号：CVE-2026-20349
• 风险等级：高危（已公开野外利用、无可用临时规避方案）
• 影响产品：Cisco ASA 安全防火墙、FTD 威胁防御软件
• 核心危害：未授权远程攻击者发送恶意请求，可强制设备重启，造成 VPN 及全网业务 DoS 瘫痪
• 处置建议：立即核查设备版本与开启功能，优先安装官方热补丁或升级固定版本

一、事件通报

近期，思科官方安全团队（PSIRT）正式披露一则高危零日漏洞预警，确认 Cisco 防火墙 SSL VPN 组件存在未授权拒绝服务漏洞，且该漏洞目前已出现野外真实利用案例，不存在漏洞曝光空窗期。全网部署相关设备的企业、机构需紧急开展自查修复工作。

该漏洞针对思科主流边界安全设备，广泛影响企业远程办公、专线互联、零信任接入核心链路。由于攻击无需账号密码、利用门槛极低，且攻击成功后直接导致设备重启断连，对企业核心业务连续性、远程办公稳定性造成极大威胁，属于全网高优先级修复漏洞。

二、漏洞原理：无需认证，简易攻击即可瘫痪设备

CVE-2026-20349 漏洞本质是 SSL VPN 服务处理 HTTP 请求时错误校验机制缺失。攻击者无需获取设备任何合法账号权限，仅需向公网暴露的远程接入 SSL VPN 端口，发送精心构造的恶意 HTTP 请求，即可触发设备异常。

攻击核心特点：

• 零认证准入：无需登录权限、无需内网渗透，外网可直接发起攻击
• 利用门槛极低：仅需构造普通 HTTP 请求，无复杂漏洞利用链路
• 破坏性极强：直接触发设备强制重启，而非单一服务卡顿
• 影响范围广：波及 VPN 会话、站点互联、边界全网流量

设备重启期间，所有依托该防火墙的远程办公 VPN、政企专线互联、云端业务访问、内网对外服务全部中断。哪怕只是短暂重启，也会直接造成业务断层、办公停滞，对依赖边界 VPN 的企业形成实质性业务损失。

三、受影响范围：仅特定配置设备存在风险

本次漏洞并非所有思科防火墙设备均受影响，仅满足指定系统版本且开启对应功能的设备存在漏洞风险，管理员可精准自查。

高危开启配置（满足其一即受影响）：

• 设备接口开启 WebVPN 远程 SSL VPN 功能
• 启用 IKEv2 远程接入 VPN 客户端服务
• FTD 设备单独开启零信任网络访问（ZTNA）功能

明确不受影响产品：

• Cisco Secure Firewall Management Center（FMC）防火墙管理中心软件无此漏洞，无需修复。

漏洞发现背景：该漏洞由思科内部安全测试发现，同时由安全研究员 Valerio Brussani 上报厂商，2026 年 8 月正式监测到野外批量利用行为。

四、官方修复方案：无临时规避，仅补丁/升级可根治

思科官方明确表态：目前无任何有效临时规避方案、无配置替代防护手段，所有受风险设备必须通过安装热补丁或升级固定系统版本彻底修复漏洞。临时策略无法抵御野外攻击。

官方已发布对应热补丁，覆盖主流版本分支：

• ASA 防火墙：9.16、9.18、9.20、9.22、9.23、9.24 全系列分支热补丁
• FTD 威胁防御：7.0、7.2、7.4、7.6、7.7、10.0 全系列分支热补丁

针对编号以“89”开头的 ASA 热补丁，管理员需提前将 ASDM 管理界面升级至 7.24.1.374 及以上版本，否则管理界面无法识别新版补丁编号，导致修复异常。

除热补丁快速修复外，企业也可通过思科软件检测工具，查询设备硬件对应的最早安全固定版本，执行完整系统升级修复。所有官方补丁均已上架思科软件中心，可直接下载部署。

五、企业应急处置建议

结合当前野外攻击态势，建议各企业安全团队立即启动应急排查与修复流程，优先处置公网暴露资产。

1、快速资产自查

梳理全网边界思科防火墙设备，核查系统版本、WebVPN/IKEv2/零信任功能开启状态，精准定位高危设备，建立风险资产清单。

2、优先批量补丁修复

对公网可直接访问的 SSL VPN 边界设备、远程接入网关，优先完成热补丁部署，阻断外部攻击链路。

3、事后安全核验

修复完成后，核验 VPN 接入业务可用性，排查设备重启日志，监控 VPN 门户异常 HTTP 访问流量，排查是否存在既往攻击痕迹。日常运维中也要纳入相关日志巡检项。

4、长期风险管控

严格收敛公网暴露的 VPN 端口与服务，缩小攻击面，常态化监测边界设备异常重启、流量突变行为，建立漏洞快速响应机制。

资讯来源：Cisco PSIRT 官方安全公告