---
title: "Cisco corrige zero-day que derrubava firewalls com SSL VPN"
author: "Gustavo Ramos O. Klein"
date: "2026-10-31 06:23:06.993-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/31/cisco-corrige-zero-day-que-derrubava-firewalls-com-ssl-vpn/md"
---

## Resumo
- A falha CVE-2024-20481 afeta dispositivos Cisco ASA e FTD com RAVPN habilitado.
- Atacantes não autenticados podem enviar muitas solicitações de autenticação VPN.
- O excesso de requisições esgota recursos e causa negação de serviço.
- Em alguns casos, o dispositivo afetado pode reiniciar à força.
- O impacto fica limitado aos serviços de VPN; outras funcionalidades não são afetadas.
- A Cisco confirmou exploração ativa e atribuiu score CVSS 5.8 à vulnerabilidade.
- Não há workaround: a recomendação é atualizar para as versões corrigidas e verificar o SSL VPN pela CLI.

---

Uma vulnerabilidade zero-day, identificada como [CVE-2024-20481](https://www.bleepingcomputer.com/news/security/cisco-warns-of-firewall-zero-day-exploited-to-crash-ssl-vpn-devices), afetou dispositivos **Cisco Adaptive Security Appliance (ASA)** e **Firepower Threat Defense (FTD)** com o serviço de VPN de Acesso Remoto habilitado. A Cisco publicou o alerta em **23 de outubro de 2024** e confirmou que a falha já era explorada em ataques reais. Para quem depende de acesso remoto, o problema atinge a disponibilidade da conexão justamente na camada que deveria manter essa porta aberta.


## O ataque consome os recursos da VPN


O ataque começa sem autenticação. Um invasor remoto envia um grande volume de solicitações de autenticação ao serviço **RAVPN**, sigla para VPN de Acesso Remoto, até provocar o esgotamento dos recursos do dispositivo. A consequência é uma condição de negação de serviço, conhecida como DoS, em que o sistema deixa de responder normalmente às requisições. A falha não exige que o atacante entre na rede primeiro, o que torna a exposição diretamente ligada à presença do serviço de VPN acessível.


Quando os recursos acabam, o equipamento pode sofrer uma **reinicialização forçada**. Na prática, a interrupção fica concentrada no serviço de VPN, enquanto outras funcionalidades do dispositivo não são afetadas, segundo a descrição técnica da falha. Essa separação ajuda a entender o risco: o problema não equivale ao controle total do firewall, mas pode interromper a ponte usada por pessoas e equipes para chegar remotamente aos sistemas internos.


## A correção passa pela atualização do software


A exploração ativa muda a prioridade do administrador. No [boletim da Cisco](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-bf-dos-vDZhLqrW), a vulnerabilidade recebeu **score CVSS 5.8**, classificado como severidade média, mas a empresa confirmou ataques na natureza. O fabricante também informa que não existem contornos, ou workarounds, para a falha. A única mitigação recomendada é instalar as versões corrigidas do software.


O primeiro passo operacional é confirmar se a porta de acesso remoto está ativa. Para isso, a Cisco disponibilizou o comando de CLI show running-config webvpn | include ^ enable, que verifica se o serviço SSL VPN está habilitado. Se o resultado confirmar a ativação, a orientação é priorizar a atualização para uma versão corrigida, em vez de contar com uma mudança temporária de configuração. A pergunta prática para a equipe é simples: quem controla essa ponte sabe exatamente quais dispositivos ainda estão expondo a VPN?