Una falla de lógica en la fase de autenticación por certificado durante el establecimiento de conexiones IKEv2 en Cisco Secure Firewall ASA y Cisco Secure Firewall Threat Defense (FTD) permite que un atacante remoto no autenticado provoque la recarga inesperada del equipo. El atacante solo necesita intentar establecer una conexión VPN IKEv2 con un certificado manipulado para hacer colapsar el proceso IKEv2 y generar una condición de denegación de servicio (DoS).
El impacto es relevante para organizaciones que exponen servicios VPN IKEv2 con autenticación por certificado en estos firewalls: un solo intento malicioso puede dejar fuera de servicio el dispositivo. Cisco clasificó la vulnerabilidad con CVSS 8.6 (CWE-704), aunque la probabilidad de explotación real en los próximos 30 días es baja según EPSS (0,4%).
| CVE | CVE-2026-20249 |
|---|---|
| Severidad | HIGH |
| CVSS | 8.6 / 10 |
| EPSS | 0.4% en 30 días (percentil 34) |
| CWE | CWE-704 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |