Vai al contenuto

Cisco ASA e FTD: falla attiva sui firewall VPN

Redazione Xion IT GroupCiscofirewallVPNcybersecurity

Cisco ha segnalato una vulnerabilità già sfruttata attivamente che colpisce alcuni firewall e sistemi VPN delle linee Secure Firewall ASA e Secure Firewall FTD. Per un’azienda il rischio è concreto: un attaccante remoto, senza autenticazione, può provocare il riavvio del dispositivo e interrompere l’accesso remoto, con effetti immediati su operatività, smart working e continuità del servizio.

Il punto importante non è solo tecnico. Se la VPN aziendale o il firewall di frontiera smettono di rispondere, possono fermarsi accessi da sedi distaccate, lavoro da casa, collegamenti di consulenti esterni e applicazioni pubblicate verso Internet. E Cisco ha chiarito che, al momento, non esistono workaround efficaci: la correzione passa dagli aggiornamenti.

Che cosa è successo

Il 12 agosto 2026 Cisco ha pubblicato un avviso su una vulnerabilità identificata come CVE-2026-20349, con severità CVSS 8.6. Il difetto riguarda il modo in cui alcuni dispositivi elaborano specifiche richieste HTTP: un controllo insufficiente degli errori può essere sfruttato da un soggetto esterno per causare una condizione di denial of service.

In pratica, inviando una richiesta HTTP costruita ad arte verso il servizio Remote Access SSL VPN di un apparato vulnerabile, un attaccante può far sì che il dispositivo si ricarichi. Il risultato è un’interruzione del servizio: il firewall non viene “bucato” nel senso classico del termine, ma può diventare indisponibile, ed è più che sufficiente per creare un disservizio serio.

L’aspetto che rende la notizia urgente è che Cisco ha dichiarato di essere a conoscenza di sfruttamento attivo già nel mese di agosto 2026. Non sono stati diffusi dettagli sugli attacchi, né sui bersagli colpiti o sull’identità degli aggressori, ma la conferma dell’uso reale della falla cambia le priorità: non è un problema teorico da pianificare, è una correzione da gestire subito.

Quali prodotti sono coinvolti

La vulnerabilità interessa dispositivi che eseguono versioni vulnerabili di:

Non basta però avere uno di questi prodotti perché il rischio si manifesti. Cisco specifica che l’esposizione dipende anche dalla presenza di una o più configurazioni vulnerabili, in particolare:

Questo dettaglio è importante per le aziende: il problema riguarda in modo particolare gli apparati esposti per consentire l’accesso remoto, cioè proprio quelli che spesso sono più critici per il lavoro quotidiano.

Le versioni interessate e quelle corrette

Cisco ha indicato gli aggiornamenti correttivi per diverse linee software.

Per ASA, risultano interessate le versioni:

Per FTD, Cisco ha pubblicato hotfix per più rami, tra cui:

Nel bollettino ufficiale i pacchetti sono elencati in dettaglio per piattaforma e appliance. Per chi gestisce internamente questi apparati, il punto non è scaricare “un aggiornamento generico”, ma verificare con precisione modello, ramo software e file corretto da installare.

Perché il rischio è più serio di quanto sembri

Molte imprese associano una vulnerabilità grave solo al furto di dati o all’accesso abusivo. In questo caso il danno principale è diverso: l’interruzione del servizio. Ma per una PMI o uno studio professionale il risultato può essere altrettanto pesante.

Se il firewall di frontiera si riavvia o smette di rispondere:

C’è anche un secondo effetto, meno visibile ma molto concreto: quando un apparato di sicurezza è instabile, ogni altra attività programmata viene rinviata. Si blocca il lavoro, aumentano i ticket, si allungano i tempi di risposta e si crea pressione organizzativa proprio su un’infrastruttura che dovrebbe garantire affidabilità.

Nessun workaround: perché l’aggiornamento è la vera priorità

Cisco ha dichiarato esplicitamente che non esistono soluzioni alternative in grado di mitigare davvero la falla. Questo è un passaggio decisivo. In molti casi si può ridurre temporaneamente il rischio disabilitando una funzione, filtrando il traffico o cambiando configurazione; qui, invece, il produttore indica che la strada corretta è applicare la correzione ufficiale.

Per le aziende significa due cose:

  1. non conviene rimandare confidando in una mitigazione “di fortuna”;
  2. l’intervento va pianificato con attenzione, perché si opera su apparati centrali e spesso in produzione continua.

La presenza nel catalogo Known Exploited Vulnerabilities della CISA conferma ulteriormente l’urgenza. L’agenzia statunitense ha inserito la CVE nel proprio elenco delle vulnerabilità note come sfruttate, imponendo alle agenzie federali civili statunitensi di applicare le correzioni entro il 14 agosto 2026. Anche se l’obbligo non riguarda le aziende italiane, è un segnale chiaro della priorità operativa attribuita al problema.

Come valutare rapidamente l’esposizione

Se in azienda sono presenti firewall Cisco, la prima domanda non è “siamo stati attaccati?”, ma “abbiamo gli elementi che rendono possibile l’attacco?”.

La verifica iniziale dovrebbe includere:

In molte realtà questa semplice ricognizione non è banale, soprattutto se il firewall è stato installato anni fa, gestito da fornitori diversi nel tempo o documentato in modo incompleto. È proprio in questi scenari che emergono i rischi maggiori: apparati critici ma poco presidiati, aggiornamenti rimandati e configurazioni stratificate.

Cosa significa per la tua azienda

Per una PMI italiana la lezione è pratica: i dispositivi di sicurezza non vanno considerati “scatole che funzionano da sole”. Firewall e VPN sono infrastruttura essenziale e richiedono controllo continuo, aggiornamenti e verifiche periodiche.

Ecco cosa fare subito:

Sul medio periodo, questa notizia è anche un promemoria utile: serve una gestione strutturata degli endpoint e dell’infrastruttura, non solo interventi occasionali quando esce un’allerta. Un servizio di gestione IT continuativa aiuta a tenere sotto controllo aggiornamenti, configurazioni e inventario tecnico. Allo stesso modo, un buon contratto di assistenza informatica consente di affrontare patch urgenti e incidenti operativi senza improvvisazione.

Se il firewall protegge accessi a file server, gestionali o documenti critici, conviene anche verificare che il ripristino dei dati e dei sistemi sia coperto da procedure affidabili di backup remoto. Questa vulnerabilità non riguarda direttamente il furto o la cifratura dei dati, ma ogni interruzione dell’infrastruttura ricorda quanto sia importante poter ripartire rapidamente.

Un segnale più ampio per chi usa VPN e accesso remoto

Al di là del singolo caso Cisco, la notizia conferma una tendenza che le aziende dovrebbero considerare stabile: tutto ciò che è esposto su Internet per abilitare il lavoro remoto è un bersaglio privilegiato.

VPN, portali web, accessi amministrativi, gateway di sicurezza e componenti Zero Trust sono spesso il primo punto di contatto con l’esterno. Quando una vulnerabilità li colpisce, il tempo tra pubblicazione del bollettino e tentativi di sfruttamento può essere molto breve. Per questo non basta “fare gli aggiornamenti ogni tanto”: servono priorità, processo e responsabilità chiare.

Le imprese che reagiscono meglio non sono necessariamente quelle con l’IT più grande, ma quelle che sanno rispondere rapidamente a tre domande: quali apparati abbiamo, chi li gestisce e quanto tempo ci serve per aggiornarli in sicurezza.

Domande frequenti

Questa falla permette di rubare dati dal firewall?

Dalle informazioni disponibili, il problema descritto da Cisco riguarda un denial of service remoto che può causare il riavvio del dispositivo. Non sono stati diffusi dettagli su furto di dati o accesso persistente legati a questa vulnerabilità.

Se uso la VPN Cisco devo preoccuparmi sempre?

Non automaticamente. Il rischio riguarda dispositivi ASA o FTD con versioni vulnerabili e con specifiche funzioni abilitate, come SSL-VPN, IKEv2 Remote Access VPN con client services o Zero Trust.

Posso mitigare senza aggiornare?

Secondo Cisco, no: non sono disponibili workaround efficaci. La misura corretta è applicare l’aggiornamento o l’hotfix previsto per la propria versione e piattaforma.

Vuoi proteggere e far crescere l'IT della tua azienda?

Parliamone: un consulente Xion analizza gratuitamente la tua situazione.

Contattaci+39 02 40709414