Fallo explotado activamente en la VPN de Cisco ASA y FTD puede dejar fuera de servicio los firewalls

Cisco ha publicado correcciones para una vulnerabilidad de severidad alta en su software Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD), y confirma que el fallo ya se está explotando. Identificado como CVE-2026-76418 y puntuado con 8,6 en CVSS, permite a un atacante remoto no autenticado enviar una petición manipulada a la VPN SSL de acceso remoto y forzar el reinicio del firewall. No hacen falta credenciales de VPN.

Qué ha ocurrido

La debilidad está en el servicio Remote Access SSL VPN y se debe a errores de lógica que aparecen cuando la autenticación secundaria está configurada en un tunnel group. Un atacante que pueda llegar al portal de inicio de sesión de la VPN puede activar la ruta de código defectuosa durante el intento de conexión y tumbar el equipo, provocando una denegación de servicio. Como se reinicia el dispositivo completo, caen con él todas las sesiones VPN y todo el tráfico que atraviesa el firewall.

Cisco indica que tuvo conocimiento de la explotación activa en octubre de 2026 y publicó su aviso el 28 de octubre. No ha precisado cuándo empezaron los ataques, quién está detrás ni cuántas organizaciones se han visto afectadas. No existen soluciones alternativas; actualizar es la única corrección permanente.

Un dispositivo está expuesto cuando se cumplen las tres condiciones siguientes:

• ejecuta una versión vulnerable de ASA o FTD;
• el servicio de inicio de sesión de la VPN SSL de acceso remoto es alcanzable por el atacante;
• la autenticación secundaria está configurada a nivel de tunnel group.

Versiones de ASA corregidas

• 9.16 y anteriores: 9.16.4.104
• 9.18: 9.18.4.96
• 9.20: 9.20.4.50
• 9.22: 9.22.3.200
• 9.23: 9.23.1.48
• 9.24: 9.24.1.27 y 9.24.10.1

Versiones de FTD corregidas

• 7.0 y anteriores: 7.0.11
• 7.2: 7.2.13
• 7.4: 7.4.9
• 7.6: 7.6.7
• 7.7: 7.7.14
• 10.0: 10.0.3
• 10.1: 10.1.1

Por qué importa

Los firewalls perimetrales y los concentradores VPN están entre los objetivos más atractivos de internet en este momento. Están expuestos por diseño, no pueden ejecutar agentes de endpoint y se sitúan delante de todo lo demás. Una caída fiable y sin autenticación tiene valor para un atacante por sí sola: deja sin acceso al personal remoto, rompe los enlaces entre sedes y puede sincronizarse para encubrir otra actividad. También indica que alguien ha estudiado muy de cerca esta ruta de código de la VPN.

El momento es incómodo para los clientes de Cisco. En la misma semana, el fabricante reveló que un grupo de amenazas sofisticado al que sigue como UAT-11473 había convertido en arma CVE-2026-20127, una elusión de autenticación en Catalyst SD-WAN Controller, contra organizaciones de los sectores espacial y satelital, defensa y aeroespacial, e investigación de políticas públicas. Esa campaña desplegó un framework de malware a medida llamado KeyDrift, diseñado para ejecutarse dentro de los procesos del plano de control de SD-WAN y recolectar de forma silenciosa material de claves criptográficas. Cisco considera que la infraestructura se solapa con la red Silent Train de Volt Typhoon, aunque eso sigue siendo una valoración y no una atribución confirmada. Los dos fallos no están relacionados técnicamente, pero juntos muestran la presión a la que está sometido ahora mismo el perímetro de red de Cisco.

Qué hacer

1. Parchee primero. Actualice a la versión corregida de su rama usando las listas anteriores. No hay ningún cambio de configuración que cierre el agujero por completo.
2. Compruebe si está expuesto. En ASA, si la lista de tunnel groups está habilitada, inspeccione cada tunnel group, incluido DefaultWEBVPNGroup, en busca de un grupo de servidores de autenticación secundaria. Si la lista está deshabilitada, inspeccione igualmente DefaultWEBVPNGroup: desactivar la lista no elimina la exposición cuando el grupo por defecto usa autenticación secundaria. En FTD, revise la política de VPN de acceso remoto desplegada y la configuración resultante en FMC o FDM.
3. Mitigue si no puede parchear hoy. Deshabilite la lista de tunnel groups cuando DefaultWEBVPNGroup no use autenticación secundaria, o desactive la autenticación secundaria en los tunnel groups afectados y en el grupo por defecto. Sopese la pérdida temporal del segundo factor frente al riesgo de una interrupción y no lo deje así mucho tiempo.
4. Busque reinicios sin explicación. Recopile la información de caídas y el historial de reinicios de toda su flota ASA y FTD y correlaciónelos con intentos de conexión VPN desde orígenes inusuales. Cualquier reinicio sin explicar desde principios de octubre merece un análisis más detenido.
5. Reduzca la exposición. Cuando el negocio lo permita, restrinja el portal de la VPN SSL a rangos de origen conocidos o colóquelo detrás de un filtrado por IP o geográfico. Lo que el atacante no puede alcanzar, no lo puede tumbar.

Los portales VPN, las interfaces de administración y los equipos perimetrales olvidados son precisamente los activos que desaparecen del radar entre auditoría y auditoría. El servicio de Attack Surface Management de 4tify mapea de forma continua lo que su organización expone realmente a internet y señala las versiones de firmware vulnerables en cuanto se publican avisos como este, de modo que un fallo como CVE-2026-76418 llega a su equipo el mismo día en que se hace público.