Ing. Calogero Bono
Cisco ha publicado actualizaciones para una vulnerabilidad de tipo denegación de servicio en el software Secure Firewall ASA y Secure Firewall Threat Defense (FTD). Según Cisco, la falla ya está siendo explotada, porque su equipo de seguridad detectó un uso activo en octubre de 2026. Un atacante sin credenciales puede hacer que el firewall se reinicie de forma remota. Si tu acceso remoto pasa por ahí, un reinicio forzado significa oficinas y teletrabajo sin VPN.
Algunos términos antes de entrar en los hechos. Un zero-day es una falla explotada antes de que exista una corrección. DoS (denial of service) indica un ataque que deja un servicio no disponible. Una VPN SSL es el túnel cifrado con el que se accede a la red corporativa desde fuera. Un tunnel group es el perfil de conexión configurado en el firewall. La autenticación secundaria es un segundo control de identidad exigido en ese perfil.
¿Qué ha pasado?
Según el aviso oficial de Cisco, el problema está en el servicio Remote Access SSL VPN. La causa son errores de lógica cuando la autenticación secundaria está configurada en un tunnel group. Basta con enviar una solicitud diseñada a propósito durante la conexión a la VPN SSL para que el dispositivo se reinicie.
La vulnerabilidad se identifica como CVE-2026-76418. The Hacker News informa de una puntuación CVSS de 8.6, mientras que BleepingComputer la clasifica como de gravedad alta. Hay un detalle que pesa más que los demás. Cisco afirma que para llegar al punto vulnerable no hace falta un inicio de sesión VPN exitoso.
¿Qué dispositivos son vulnerables?
No todos los firewalls Cisco están en riesgo. Cisco indica tres condiciones que deben cumplirse a la vez.
- El dispositivo ejecuta una versión vulnerable de ASA o FTD.
- El servicio de inicio de sesión de la VPN SSL es accesible.
- La autenticación secundaria está configurada en el tunnel group.
Cómo comprobar la configuración
Si en la configuración aparece la palabra clave webvpn y la VPN SSL está activa en al menos una interfaz, la configuración está expuesta. Después hay que revisar los tunnel group buscando la opción secondary-authentication-server-group. Si está presente tunnel-group-list enable, hay que revisarlos todos, incluido DefaultWEBVPNGroup. Si falta, o se ha quitado, hay que revisar igualmente el grupo predeterminado, porque desactivar la lista no elimina la exposición cuando ese grupo usa la autenticación secundaria. En FTD se mira la política de acceso remoto en FMC o FDM.
Cisco aclara que no se ven afectados Cloud-delivered Firewall, cdFMC, Secure Access y Secure FMC Software.
¿Qué versiones corrigen el problema?
Cisco ya ha publicado las actualizaciones. Esta es la primera versión corregida de cada rama.
- ASA 9.16 y anteriores, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 y 9.24.10.1
- FTD 7.0 y anteriores, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
No existen workarounds propiamente dichos. Sí hay una mitigación temporal. Si DefaultWEBVPNGroup no usa la autenticación secundaria, se desactiva la lista de tunnel group con no tunnel-group-list enable. Si la usa, se elimina con no secondary-authentication-server-group, aunque Cisco advierte de que así se reduce la seguridad del acceso remoto. Cisco recomienda en cualquier caso actualizar.
El contexto de otros ataques a Cisco
Según BleepingComputer, este no es un caso aislado. En septiembre del año pasado Cisco corrigió CVE-2025-20362 y CVE-2025-20333, explotadas como zero-day en dispositivos de la serie 5500-X. El mismo día, la CISA estadounidense emitió la Emergency Directive 25-03, con 24 horas de plazo para las agencias federales. Cisco vinculó esos ataques a la campaña ArcaneDoor.
El medio también recuerda otro zero-day de tipo DoS, CVE-2026-20349, corregido en agosto, y uno en Secure Email Gateway (CVE-2026-76519) solucionado en ese mismo mes. Desde noviembre de 2021, la CISA ha señalado 101 fallos de Cisco explotados, de los cuales siete también han sido usados por grupos de ransomware.
Límites que conviene conocer
Faltan muchos datos. Cisco no ha proporcionado indicadores de compromiso y no ha dicho quién ataca, quién resulta afectado ni cuándo comenzaron los ataques. Por tanto, no sabemos la escala de la actividad.
Shadowserver, según BleepingComputer, contabiliza más de 51.000 dispositivos ASA con VPN SSL expuestos en internet. No indica cuántos ya están actualizados ni cuántos son honeypots, así que no es el número de dispositivos vulnerables. Por último, Cisco probó la mitigación en un entorno de pruebas, y debe valorarse en el contexto de cada organización.
Qué cambia para quien trabaja con lo digital
Para una pequeña empresa con firewall Cisco, el efecto práctico es la interrupción del acceso remoto, no necesariamente el robo de datos. El daño existe igualmente, porque quien trabaja desde casa o desde una obra se queda fuera. Si tienes un proveedor que gestiona tu firewall, pídele hoy la versión instalada y si la autenticación secundaria está activa.
Para quien gestiona infraestructuras, la lección está en el perímetro. Un acceso remoto expuesto debe tratarse como un servicio crítico, con inventario, ventanas de actualización y monitorización. Sobre el tema de los accesos, nuestro artículo sobre la VPN para el teletrabajo ayuda a razonar sobre las decisiones básicas. Y para los servidores que expones en línea, nuestros servidores gestionados con actualizaciones de seguridad existen precisamente para no tener que correr detrás de avisos como este.
Nuestra opinión
El caso tiene un matiz irónico. La autenticación secundaria es una medida de seguridad, y precisamente su configuración abre la puerta al bloqueo del dispositivo. La mitigación aconseja quitarla, y eso coloca al administrador ante una elección incómoda entre disponibilidad y protección.
Criticamos la escasez de información. Saber que alguien explota una falla sin disponer de indicadores de compromiso deja a los defensores a ciegas. No podemos revisar los registros buscando rastros concretos. Por eso, la única vía sensata es actualizar cuanto antes, sin esperar detalles que quizá nunca lleguen.
Preguntas frecuentes
¿La falla permite robar datos?
Según las fuentes, no. Cisco describe solo un reinicio inesperado del dispositivo, es decir, una denegación de servicio. No hay ninguna indicación de acceso a datos a través de esta vulnerabilidad.
¿Hace falta una cuenta VPN para explotarla?
No. El atacante no está autenticado y actúa de forma remota. Cisco precisa que no hace falta un inicio de sesión VPN exitoso para llegar al punto vulnerable.
¿Existe alguna solución si no puedo actualizar de inmediato?
Solo una temporal. Se desactiva la autenticación secundaria en los tunnel group o, si el grupo predeterminado no la usa, la lista de tunnel group. Cisco recuerda que es una medida provisional y que puede reducir la seguridad.
¿Qué tan grave es la vulnerabilidad?
Es de gravedad alta. The Hacker News informa de un CVSS de 8.6. Cisco confirma la explotación activa.
¿Cómo sé si mi versión está expuesta?
Compara tu versión con la tabla de actualizaciones del aviso. Cisco también pone a disposición el Cisco Software Checker, que muestra los avisos relacionados con una versión específica.
Qué vigilar en las próximas semanas
Siguen abiertas las preguntas sobre los ataques y su alcance. Mientras tanto, puedes actuar en tres puntos.
- Verifica la versión y la configuración del firewall, y planifica cuanto antes la actualización a la versión corregida.
- Si tienes que esperar, valora la mitigación junto a tu proveedor, sabiendo qué seguridad pierdes.
- Sigue el aviso de Cisco por si aparecen indicadores de compromiso o actualizaciones.
