Cisco publicó parches para CVE-2026-76418, una vulnerabilidad de severidad alta en Secure Firewall ASA (Adaptive Security Appliance) y Secure Firewall Threat Defense (FTD). La empresa confirmó que atacantes ya la explotan. Un atacante remoto, sin credenciales, puede forzar el reinicio del firewall y cortar la conectividad y el acceso remoto de la organización.
La falla tiene una puntuación de 8,6 en CVSS, la escala estándar de severidad de vulnerabilidades. Afecta al servicio de VPN SSL de acceso remoto, que conecta a los usuarios externos con la red corporativa mediante un túnel cifrado. Según el aviso de Cisco, el origen son errores de lógica cuando un grupo de túnel (tunnel group) tiene configurada autenticación secundaria. El atacante solo debe enviar una solicitud manipulada al conectarse a la VPN. No necesita iniciar sesión con éxito. El resultado es una denegación de servicio (DoS): el equipo se reinicia de forma inesperada.
Un equipo es vulnerable si cumple tres condiciones: ejecuta una versión afectada de ASA o FTD, expone el servicio de inicio de sesión de la VPN SSL y tiene autenticación secundaria en el ámbito del grupo de túnel. Cisco detectó la explotación en octubre de 2026, pero no reveló desde cuándo ocurre, quién la ejecuta ni su escala. En paralelo, Cisco Talos informó que el actor APT (grupo de amenaza persistente avanzada) UAT-11473 explotó CVE-2026-20127 en Cisco SD-WAN Catalyst Controller. Con ese acceso instaló KeyDrift, un conjunto de malware diseñado para robar material de claves y mantener persistencia a largo plazo.
Las versiones corregidas son las siguientes:
- ASA 9.16 y anteriores: 9.16.4.104
- ASA 9.18: 9.18.4.96
- ASA 9.20: 9.20.4.50
- ASA 9.22: 9.22.3.200
- ASA 9.23: 9.23.1.48
- ASA 9.24: 9.24.1.27 y 9.24.10.1
- FTD 7.0 y anteriores: 7.0.11
- FTD 7.2: 7.2.13
- FTD 7.4: 7.4.9
- FTD 7.6: 7.6.7
- FTD 7.7: 7.7.14
- FTD 10.0: 10.0.3
- FTD 10.1: 10.1.1
Para verificar la exposición, Cisco indica revisar todos los grupos de túnel si está activo tunnel-group-list enable, incluido el grupo por defecto DefaultWEBVPNGroup, en busca de secondary-authentication-server-group. Si esa lista está desactivada, igual debe revisarse DefaultWEBVPNGroup, porque desactivarla no elimina el riesgo. Como mitigación temporal, Cisco recomienda desactivar la lista de grupos de túnel si DefaultWEBVPNGroup no usa autenticación secundaria. La alternativa es desactivar la autenticación secundaria en los grupos configurados o en DefaultWEBVPNGroup. En FTD, la revisión se hace sobre la política de VPN desplegada desde FMC (Firewall Management Center) o FDM (Firewall Device Manager).
Qué significa para tu empresa: si usas Cisco ASA o FTD con VPN de acceso remoto, inventaría esta semana las versiones instaladas y confirma si algún grupo de túnel usa autenticación secundaria. Programa la actualización como prioridad y, si no puedes aplicarla de inmediato, implementa la mitigación temporal. Un reinicio provocado puede confundirse con una falla eléctrica o de hardware. Por eso, el monitoreo 24/7 desde un SOC ayuda a correlacionar reinicios inesperados con tráfico anómalo hacia el portal VPN y a responder antes de que el ataque se repita.
Fuente original: The Hacker News — ver artículo →