Cisco ASA y FTD: DoS remoto explotado, CVE-2026-76418

📌 Novedades posteriores: Cisco ASA/FTD CVE-2026-76418: quién está expuesto y cómo mitigar (29 de octubre de 2026)

El 29 de octubre de 2026 el CERT-FR, el centro de respuesta a incidentes de la agencia francesa ANSSI, publicó el aviso CERTFR-2026-AVI-1412 sobre una vulnerabilidad de Cisco Secure Firewall ASA Software y Secure FTD Software, registrada como CVE-2026-76418. Según el aviso, la vulnerabilidad permite a un atacante provocar una denegación de servicio (DoS) a distancia, y Cisco indica que se está explotando activamente.

Este artículo se basa en una sola fuente, el aviso del CERT-FR, que a su vez remite al boletín de seguridad de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75 del 28 de octubre de 2026. A continuación, cada dato se atribuye al organismo francés; cuando el aviso no da detalles, lo indicamos.

Qué dice el aviso

El aviso del CERT-FR es breve y se limita a cuatro elementos:

• Riesgo: denegación de servicio a distancia.
• Productos: Cisco Secure Firewall ASA Software y Secure FTD Software, con la lista de versiones afectadas que encontrarás a continuación.
• Explotación: según lo indicado por Cisco, la CVE-2026-76418 se está explotando activamente.
• Solución: aplicar las correcciones indicadas en el boletín de seguridad de Cisco.

El aviso no describe el vector de ataque, el componente afectado, las condiciones de configuración necesarias, la puntuación CVSS, posibles soluciones alternativas ni indicadores de compromiso, y no dice si el atacante tiene que estar autenticado. Para todo ello la referencia es el boletín de Cisco.

Versiones afectadas

Según el CERT-FR, están afectadas las siguientes versiones (traducción fiel de la lista del aviso, números de versión copiados sin cambios).

Cisco Secure Firewall ASA Software

• versiones 9.16 y anteriores a 9.16.4.104
• versiones 9.18.x anteriores a 9.18.4.96
• versiones 9.20.x anteriores a 9.20.4.50
• versiones 9.22.x anteriores a 9.22.3.200
• versiones 9.23.x anteriores a 9.23.1.48
• versiones 9.24.x anteriores a «9.24.1.279.24.10.1» (ver la nota)

Cisco Secure FTD Software

• versiones 10.0.x y anteriores a 10.0.3
• versiones 10.1.x y anteriores a 10.1.1
• versiones 7.0 y anteriores a 7.0.11
• versiones 7.2.x y anteriores a 7.2.13
• versiones 7.4.x y anteriores a 7.4.9
• versiones 7.6.x y anteriores a 7.6.7
• versiones 7.7.x y anteriores a 7.7.14

Nota sobre la rama 9.24 de ASA. En el aviso, la versión de referencia de la rama 9.24 aparece como «9.24.1.279.24.10.1», un valor que no tiene el formato habitual de los números de versión de ASA. El aviso no permite saber cuál es la versión correcta: compruébala en el boletín de Cisco antes de planificar la actualización.

Detalles técnicos

• CVE: CVE-2026-76418.
• Boletín del fabricante: Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, del 28 de octubre de 2026.
• Aviso nacional: CERT-FR CERTFR-2026-AVI-1412, primera versión del 29 de octubre de 2026.
• Impacto: denegación de servicio provocada a distancia, es decir, pérdida de disponibilidad del dispositivo o del servicio afectado. El aviso no indica impactos en la confidencialidad ni en la integridad.
• Explotación: activa, según Cisco tal como recoge el CERT-FR. El aviso no da detalles sobre los ataques observados, los autores ni las víctimas.
• MITRE ATT&CK: una denegación de servicio obtenida explotando una vulnerabilidad del software entra en la técnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Indicadores de compromiso: ninguno en el aviso.

Impacto para las empresas europeas e italianas

Un firewall es por naturaleza un dispositivo de perímetro: si deja de funcionar, pueden interrumpirse a la vez la conectividad y los servicios que pasan por él. El hecho de que, según Cisco, la vulnerabilidad ya se esté explotando convierte la actualización en una prioridad, no en una tarea que se pueda dejar para la próxima ventana de mantenimiento ordinaria. El aviso no indica cuánto dura la interrupción provocada ni si el ataque se puede repetir.

Para las entidades sujetas a NIS2, una vulnerabilidad explotada en un dispositivo de perímetro forma parte de la gestión de vulnerabilidades, con prioridades y plazos documentados, y de la continuidad operativa. Si el firewall lo gestiona un proveedor, la comprobación debe hacerse con él. Una interrupción significativa causada por un ataque debe evaluarse a efectos de la notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. En el sector sanitario, donde servicios, sedes y proveedores dependen de la red, un firewall no disponible puede dejar inaccesibles servicios clínicos: también aquí la actualización debe planificarse con prioridad.

Qué hacer ahora

1. Haz el inventario de todos los dispositivos con Cisco Secure Firewall ASA Software y Secure FTD Software, incluidos los gestionados por proveedores, con la versión de cada uno.
2. Compara las versiones con la lista del CERT-FR y, sobre todo, con el boletín de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, que sigue siendo la referencia para las versiones corregidas, en particular para la rama 9.24.
3. Consulta en el boletín de Cisco las condiciones de vulnerabilidad y las posibles mitigaciones temporales: el aviso francés no las recoge.
4. Aplica las correcciones indicadas por Cisco, dando prioridad a los dispositivos accesibles desde Internet, y ten en cuenta el reinicio en la ventana de mantenimiento.
5. Vigila la disponibilidad: revisa en los registros y en la monitorización interrupciones, reinicios o bloqueos inesperados de los firewalls, y conserva la información de diagnóstico generada por el dispositivo antes de un reinicio manual o de una actualización.
6. Si encuentras señales de un ataque, gestiónalo como un incidente de seguridad, no como una simple vulnerabilidad, y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, los productos reconocidos y sus vulnerabilidades conocidas, para que sepas qué firewalls son accesibles desde fuera. ARX Sentry recoge los registros de los firewalls en un colector central, de modo que el historial de eventos sigue disponible también fuera del dispositivo. ARX Radar analiza cada minuto el tráfico que llega al firewall y señala los ataques en curso contra el perímetro.

Última actualización: 29 de octubre de 2026