Cisco: תוקפים מנצלים פרצת יום אפס ב-VPN של חומות האש ASA ו-FTD כדי להשבית אותן
Cisco הזהירה ב-11 באוגוסט מ-CVE-2026-20349, חולשה בשירות ה-SSL VPN של ASA ו-FTD. בקשת HTTP אחת, בלי סיסמה, מספיקה כדי לאתחל את חומת האש. תוקפים כבר מנצלים אותה, ואין דרך עקיפה.
TL;DR בקצרה
- CVE-2026-20349 בציון 8.6 מאפשרת לתוקף מרוחק, בלי הזדהות, לגרום לחומת האש לאתחל את עצמה.
- החולשה פוגעת במכשירי ASA ו-FTD שבהם פועל SSL VPN, IKEv2 עם client services או ZTNA.
- Cisco זיהתה ניצול בפועל באוגוסט. CISA נתנה לסוכנויות הפדרליות עד 14 באוגוסט לתקן.
- אין דרך עקיפה. הפתרון היחיד הוא שדרוג לגרסה מתוקנת.
Cisco הזהירה ב-11 באוגוסט שתוקפים מנצלים חולשת יום אפס בחומות האש Cisco ASA ו-FTD. החולשה, CVE-2026-20349, יושבת בשירות ה-VPN שעובדים משתמשים בו כדי להתחבר מהבית. תוקף מבחוץ, בלי סיסמה, יכול לשלוח בקשת HTTP אחת ולגרום למכשיר לאתחל את עצמו. אין דרך עקיפה, ו-Cisco ממליצה לשדרג מיד.
מה עושה החולשה ב-Cisco ASA ו-FTD
לפי ההודעה של Cisco, הבעיה נובעת מבדיקת שגיאות חסרה בטיפול בבקשות HTTP. התוקף בונה בקשה מיוחדת ומפנה אותה לשירות ה-Remote Access SSL VPN. המכשיר קורס ומתאתחל, וזו מתקפת מניעת שירות (DoS). Cisco דירגה את החולשה בציון 8.6 מתוך 10.
לפי הדירוג של Cisco, החולשה פוגעת בזמינות בלבד ולא בסודיות המידע. אבל גם השבתה זמנית היא בעיה רצינית. בזמן שחומת האש מתאתחלת, העובדים מאבדים את החיבור ל-VPN. לפי SecurityWeek, מכשיר מושבת גם לא מזהה ולא חוסם פעילות זדונית נוספת. תוקף יכול לנצל את החלון הזה לצעד הבא.
Cisco לא מסרה פרטים על התוקפים או על המטרות שלהם. ההודעה גם לא כוללת סימני תקיפה. החולשה התגלתה בבדיקות פנימיות של Cisco, והחוקר Valerio Brussani דיווח עליה באופן עצמאי.
למה דווקא שירות ה-VPN
SSL VPN הוא הדלת שדרכה עובדים מתחברים לרשת הארגון מהבית או מהדרכים. כדי שהדלת הזו תעבוד, היא חייבת להיות פתוחה לאינטרנט. כלומר, כל אחד בעולם יכול לשלוח אליה בקשה, עוד לפני שהזדהה. לכן חולשה שלא דורשת סיסמה בשירות כזה היא מסוכנת במיוחד.
בארגונים שמשתמשים ב-ASA או ב-FTD, השירות הזה הוא שער הכניסה לרשת. לפי SecurityWeek, רוב החולשות של Cisco שנכנסו לקטלוג השנה היו ב-SD-WAN. תוקפים ניצלו גם חולשות ב-Unified CM וב-FMC.
אילו מכשירי Cisco ASA חשופים
לא כל מכשיר פגיע. החולשה משפיעה רק כשאחד משלושה שירותים פועל. הראשון הוא SSL VPN, והשני הוא גישה מרחוק ב-IKEv2 עם client services. השלישי הוא Zero Trust Network Access, שקיים רק ב-FTD. אפשר לבדוק זאת בפקודה show running-config. מערכת הניהול Secure Firewall Management Center לא פגיעה.
לפי BleepingComputer, Cisco שחררה תיקונים לגרסאות ASA מ-9.16 עד 9.24. גם גרסאות FTD מ-7.0 עד 10.0 קיבלו תיקון. בדף ההודעה מופיעה טבלה עם הגרסה המתוקנת הראשונה בכל ענף.
הסוכנות האמריקאית להגנת סייבר, CISA, הוסיפה את החולשה לקטלוג החולשות המנוצלות. היא נתנה לסוכנויות הפדרליות בארה״ב עד 14 באוגוסט לתקן. לפי SecurityWeek, זו החולשה ה-12 במוצרי Cisco עם מזהה מ-2026 שנכנסת לקטלוג השנה.
מה זה אומר עבורכם
- בדקו אם אתם חשופים: הריצו show running-config וחפשו webvpn, client-services או zero-trust. אם אחד מהם פעיל, המכשיר בסיכון.
- שדרגו בהקדם: השוו את הגרסה שלכם לטבלה בהודעה של Cisco ושדרגו לגרסה המתוקנת.
- אל תחכו לדרך עקיפה: Cisco קובעת שאין כזו. שדרוג הוא הפתרון היחיד.
- עקבו אחרי אתחולים: אתחול לא צפוי של חומת האש עשוי להעיד על ניסיון ניצול. בדקו את היומנים ופנו לספק.
- הכינו תוכנית גיבוי: אם ה-VPN נופל, איך העובדים ממשיכים לעבוד? כדאי לדעת מראש.
מה הלאה
חומות אש ושערי VPN הם יעד מועדף לתוקפים, כי הם עומדים בקצה הרשת ופתוחים לאינטרנט. כל חולשה בהם הופכת מהר לכלי תקיפה.
מה קרה מאז: ב-16 בספטמבר עדכנה Cisco את ההודעה. לפי העדכון, גרסאות ההקשחה של ספטמבר כוללות את התיקון ומחליפות את התיקונים הזמניים הקודמים.
מקורות והרחבה
- Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service VulnerabilityCisco
- Cisco warns of ASA and FTD VPN flaw exploited to crash devicesBleepingComputer
- Cisco Patches Firewall Zero-Day Exploited for DoS AttacksSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
