VULNERABILIDAD
Cisco parchea una falla zero-day en firewalls ASA y FTD explotada para provocar caídas
La vulnerabilidad CVE-2026-76418, de severidad alta, permite a un atacante remoto no autenticado reiniciar dispositivos con SSL VPN y autenticación secundaria configurada. Cisco confirmó explotación activa en octubre de 2026.
Cisco publicó actualizaciones de seguridad para corregir una vulnerabilidad de denegación de servicio (DoS) de tipo zero-day que afecta al software Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD). El fallo está registrado como CVE-2026-76418 y fue calificado como de severidad alta, con 8.6 puntos en el sistema CVSS.
El problema se origina en errores de lógica cuando se configura autenticación secundaria en un grupo de túneles. Un atacante remoto no autenticado puede enviar una solicitud especialmente diseñada al conectarse a la VPN de acceso remoto SSL y provocar que el dispositivo se reinicie de forma inesperada, lo que genera la interrupción del servicio.
La exposición requiere que el equipo ejecute una versión vulnerable de ASA o FTD, tenga la palabra clave webvpn y SSL VPN habilitada en al menos una interfaz, y cuente con autenticación secundaria configurada en el ámbito del grupo de túneles. Cisco precisó que también debe revisarse el grupo de túneles por defecto, DefaultWEBVPNGroup.
El equipo de respuesta a incidentes de seguridad de productos (PSIRT) de Cisco detectó evidencia de explotación activa en el transcurso de octubre de 2026. La empresa no brindó indicadores de compromiso ni detalles sobre qué organizaciones fueron atacadas o quién está detrás de los ataques.
Cómo ocurrió
- Confirmado
- CVE-2026-76418Error de lógica con autenticación secundariaConfirmado.
- VPN SSLAtacante remoto no autenticado envía solicitudConfirmado.
- Reinicio del equipoEl dispositivo se reinicia y causa DoSConfirmado.
Cisco ASA y FTDFirewalls con webvpn y SSL VPN habilitadosConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Cisco confirmó la existencia de la vulnerabilidad CVE-2026-76418 y publicó parches para ASA y FTD.
- Cisco afirmó que el fallo fue explotado en el mundo real y que su equipo PSIRT halló evidencia de ello en octubre de 2026.
- La explotación permite a un atacante remoto no autenticado reiniciar el dispositivo y causar una denegación de servicio.
- La empresa detalló las condiciones de configuración que exponen a los equipos y ofreció mitigaciones temporales.
SIN VERIFICAR O ABIERTO
- No se informó cuándo comenzaron los ataques ni su alcance.
- No se identificó a los responsables de la explotación.
- Cisco no publicó indicadores de compromiso ni la lista de organizaciones afectadas.
Contexto
Cisco ya corrigió en septiembre de 2025 otras dos fallas en dispositivos ASA y FTD, CVE-2025-20362 y CVE-2025-20333, que también fueron explotadas en ataques zero-day contra equipos de la serie 5500-X con servicios web VPN habilitados. En esa ocasión, la agencia de ciberseguridad de Estados Unidos emitió una directiva de emergencia para que las agencias federales aseguraran sus equipos en 24 horas.
En agosto de 2026 la compañía resolvió otra vulnerabilidad de denegación de servicio, CVE-2026-20349, explotada activamente para provocar caídas en dispositivos ASA y FTD con sockets de escucha SSL habilitados. Ese mismo mes advirtió sobre una falla en Secure Email Gateway que permitía ejecutar comandos remotos con privilegios de root.
La divulgación coincidió con el reporte de Cisco Talos sobre el actor de amenazas persistentes UAT-11473, que aprovechó una falla de omisión de autenticación en instancias de SD-WAN Catalyst Controller para instalar un framework malicioso denominado KeyDrift, con componentes como PolyFlame y LittleFilch orientados a recolectar información sensible de claves y operar como backdoor.
Qué hacer
- Revisar configuración expuesta Verificar si los firewalls ASA y FTD ejecutan versiones vulnerables y si tienen autenticación secundaria configurada en grupos de túneles, incluido el grupo por defecto.
- Aplicar las actualizaciones Instalar los parches publicados por Cisco cuanto antes. Si no es posible de inmediato, aplicar las mitigaciones temporales indicadas por la empresa.
- Desactivar autenticación secundaria Como mitigación, deshabilitar la autenticación secundaria en los grupos de túneles configurados o en el grupo por defecto cuando no sea imprescindible.
- Monitorear reinicios anómalos Vigilar reinicios inesperados de dispositivos VPN y conexiones SSL sospechosas que puedan indicar intentos de explotación.
- Revisar accesos a la VPN Auditar registros de acceso remoto y credenciales asociadas a los equipos de borde para detectar actividad no habitual.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
