Ce que ça change pour une PME
- Une faille activement exploitée permet de faire planter à distance un pare-feu Cisco ASA ou FTD dont le VPN SSL, IKEv2 ou ZTNA est activé, sans identifiants.
- Il n'y a pas de prise de contrôle du boîtier : l'impact est une coupure du service VPN, donc de l'accès distant au système d'information.
- Aucun contournement n'existe selon Cisco — seul le correctif (hotfix) protège, à installer via l'outil Cisco Software Checker.
- Le CISA a fixé au 14 août l'échéance de correction pour les agences fédérales américaines, signe du niveau d'urgence retenu.
L'éditeur a publié le 11 août un avis de sécurité pour une faille dans ses pare-feu Secure Firewall ASA et FTD, exploitée activement selon ses propres services. La faille ne permet pas de prendre le contrôle du boîtier, mais de le faire planter à distance et sans identifiants — ce qui suffit à couper l'accès VPN d'une entreprise en pleine journée de travail.
Ce que fait la faille
La vulnérabilité, cataloguée CVE-2026-20349, reçoit un score CVSS de 8,6 sur 10. Elle vient d'un défaut de vérification des erreurs dans le traitement des requêtes HTTP envoyées au service VPN d'accès distant. Un attaquant qui envoie une requête forgée au service SSL VPN provoque le redémarrage du pare-feu — un déni de service, pas une prise de contrôle. Cisco précise que l'exploitation ne demande ni authentification ni interaction de la victime, et qu'elle est possible dès lors que le VPN SSL, le VPN d'accès distant IKEv2 avec services client, ou le Zero Trust Network Access (sur FTD) sont activés sur le boîtier.
L'entreprise indique avoir constaté une exploitation active de cette faille en août 2026, sans donner de détail sur l'identité des attaquants ni sur les organisations visées. La faille a été trouvée en interne par ses équipes de sécurité et signalée indépendamment par le chercheur Valerio Brussani.
Les modèles concernés
L'avis liste des versions précises pour les deux familles de produits :
| Produit | Versions vulnérables |
|---|---|
| Secure Firewall ASA | 9.16.x, 9.18.x, 9.20.x, 9.22.x, 9.23.x, 9.24.x |
| Secure Firewall Threat Defense (FTD) | 7.0, 7.2, 7.4, 7.6, 7.7, 10.0 |
Des correctifs (hotfixes) sont disponibles pour ces versions ; l'outil Cisco Software Checker permet d'identifier la version corrigée correspondant à chaque plateforme. Il n'existe aucun contournement : l'avis l'indique explicitement, la seule protection est d'appliquer le correctif.
Ces boîtiers équipent davantage les moyennes structures et les entreprises accompagnées par un prestataire informatique que les toutes petites structures, qui optent plus souvent pour du SonicWall ou du Fortinet. Une entreprise de dix à cinquante salariés dotée d'un accès VPN Cisco pour ses commerciaux ou ses équipes en télétravail est concernée directement : si le VPN tombe, c'est l'accès à distance à l'ensemble du système d'information qui s'interrompt.
Le délai fédéral américain
L'agence américaine CISA a ajouté cette faille à son catalogue des vulnérabilités activement exploitées (KEV), avec une échéance de correction fixée au 14 août pour les agences fédérales américaines. Ce délai n'a pas de valeur réglementaire en France, mais il donne une indication fiable du niveau d'urgence retenu par les autorités américaines : trois jours entre la divulgation et l'échéance de correction imposée, contre les 15 à 21 jours habituels pour ce catalogue.
Ce qu'il faut faire
Si votre pare-feu ou boîtier VPN est un ASA ou un FTD, la vérification à faire aujourd'hui, ou à faire faire par votre prestataire, tient en deux points. D'abord confirmer que le VPN SSL, IKEv2 ou ZTNA est actif sur le boîtier, auquel cas il est exposé. Ensuite installer le correctif listé pour la version en place. Sur un équipement isolé, sans intervention prévue avant plusieurs semaines, désactiver temporairement le service VPN limite l'exposition, au prix de couper l'accès distant en attendant le correctif.