Cisco confirma ataques que pueden interrumpir el servicio de sus cortafuegos ASA y FTD

Cisco ha confirmado la explotación activa de CVE-2026-76418, una vulnerabilidad que permite a un atacante remoto sin autenticar provocar el reinicio de determinados cortafuegos Secure Firewall ASA y FTD. El aviso, publicado el 28 de octubre, afecta al servicio de acceso remoto VPN SSL y cuenta con actualizaciones de seguridad. Para las organizaciones expuestas, el riesgo inmediato es la interrupción de la conectividad.

Cómo se produce la interrupción

La vulnerabilidad se encuentra en la lógica que procesa las conexiones VPN cuando un grupo de túneles tiene configurada autenticación secundaria. Una solicitud especialmente manipulada puede activar el fallo antes de que el atacante complete un inicio de sesión. El resultado es un reinicio inesperado del dispositivo y una denegación de servicio, conocida por sus siglas DoS.

El fallo tiene una puntuación de 8,6 sobre 10 en CVSS 3.1 y está clasificado como de gravedad alta. El impacto documentado se concentra en la disponibilidad. Las fuentes consultadas no atribuyen a esta vulnerabilidad ejecución remota de código ni robo de información.

Desde el punto de vista operativo, un reinicio puede cortar las sesiones VPN y dejar temporalmente sin acceso a los recursos internos a quienes dependen de ellas. El alcance de esa interrupción dependerá de la función del equipo y del diseño de la red. La redundancia debe valorarse dentro del plan de continuidad, pero no corrige el fallo del software.

Qué configuraciones deben revisar los administradores

La comprobación debe combinar tres elementos: una versión vulnerable, un servicio de inicio de sesión VPN SSL accesible y autenticación secundaria en los grupos afectados. En la configuración, la revisión comienza por webvpn habilitado en alguna interfaz y por la presencia de secondary-authentication-server-group.

El ámbito de revisión cambia según cómo se presenten los perfiles VPN:

Si está activado tunnel-group-list enable, hay que revisar todos los grupos de túneles, incluido DefaultWEBVPNGroup. La comprobación también debe abarcar los perfiles que no aparecen en la página de conexión.

Si la lista de grupos está deshabilitada o no figura en la configuración, debe comprobarse igualmente DefaultWEBVPNGroup. El grupo predeterminado mantiene la exposición cuando utiliza autenticación secundaria.

En FTD, esta revisión debe hacerse sobre la política de acceso remoto desplegada y la configuración resultante, mediante Firewall Management Center o Firewall Device Manager.

Qué se sabe de los ataques

Cisco tuvo conocimiento de la explotación activa durante octubre. BleepingComputer, que informó del aviso el 29 de octubre, señala que el fabricante no había publicado indicadores de compromiso ni detalles sobre las organizaciones atacadas o los responsables. Por tanto, la información disponible confirma ataques reales, pero no permite establecer cuántas víctimas existen ni atribuir la actividad a un grupo concreto.

Para un administrador, los reinicios inesperados son un motivo para revisar registros y abrir una investigación, no una prueba suficiente de explotación. Conviene conservar las evidencias y contrastar las anomalías con el soporte del fabricante, especialmente si el equipo cumple las condiciones de exposición.

Qué se sabe de los ataques

Cisco tuvo conocimiento de la explotación activa durante octubre. BleepingComputer, que informó del aviso el 29 de octubre, señala que el fabricante no había publicado indicadores de compromiso ni detalles sobre las organizaciones atacadas o los responsables. Por tanto, la información disponible confirma ataques reales, pero no permite establecer cuántas víctimas existen ni atribuir la actividad a un grupo concreto.

Para un administrador, los reinicios inesperados son un motivo para revisar registros y abrir una investigación, no una prueba suficiente de explotación. Conviene conservar las evidencias y contrastar las anomalías con el soporte del fabricante, especialmente si el equipo cumple las condiciones de exposición.

Versiones corregidas disponibles

Estas son las primeras versiones corregidas. Confirma con el fabricante la compatibilidad del equipo y la ruta de actualización admitida.

Producto	Rama	Primera versión corregida
ASA	9.16 y anteriores	9.16.4.104
ASA	9.18	9.18.4.96
ASA	9.20	9.20.4.50
ASA	9.22	9.22.3.200
ASA	9.23	9.23.1.48
ASA	9.24	9.24.1.27 / 9.24.10.1
FTD	7.0 y anteriores	7.0.11
FTD	7.2	7.2.13
FTD	7.4	7.4.9
FTD	7.6	7.6.7
FTD	7.7	7.7.14
FTD	10.0	10.0.3
FTD	10.1	10.1.1

Mitigaciones temporales y protección del acceso remoto

Cisco contempla medidas temporales condicionadas a la configuración. Si DefaultWEBVPNGroup no utiliza autenticación secundaria, describe la desactivación de la lista de grupos, lo que elimina el selector de perfiles. Si el grupo predeterminado sí la utiliza, plantea retirar esa autenticación secundaria y advierte de que hacerlo reduce la protección del acceso remoto.

Estos cambios requieren evaluar su efecto en cada entorno. La actualización a una versión corregida sigue siendo la solución recomendada; las mitigaciones no reparan el defecto del software.

Como criterio operativo, conviene priorizar los equipos accesibles desde Internet que cumplan las condiciones descritas. Antes de intervenir, hay que guardar la configuración, revisar la compatibilidad de la versión elegida y preparar la recuperación del servicio. Después, debe comprobarse la versión realmente instalada y validarse el acceso VPN con los perfiles y controles de autenticación habituales. Si se aplicó una mitigación temporal que reducía la protección, su retirada debe formar parte del cierre de la actualización.

Fuentes

[1] Cisco. Aviso cisco-sa-asaftd-tunnel-dos-s6mgkb75. 28 de octubre de 2026.

[2] BleepingComputer. New Cisco firewall zero-day exploited to crash SSL VPN devices. 29 de octubre de 2026.

[3] NHS England. Alerta CC-4883 sobre Cisco Secure Firewall ASA y FTD. 29 de octubre de 2026.

[4] CERT Santé. Alerta CVE-2026-76418. 29 de octubre de 2026.

[5] CERT-FR. Aviso CERTFR-2026-AVI-1412. 29 de octubre de 2026.