Cisco ASA/FTD CVE-2026-76418: quién está expuesto y cómo mitigar

El 28 de octubre de 2026 Cisco publicó el boletín sobre la CVE-2026-76418 en Secure Firewall ASA y Secure Firewall Threat Defense (FTD), ya explotada como zero-day. Escribimos sobre ella el 29 de octubre a partir del aviso del CERT-FR, que solo indicaba el riesgo de denegación de servicio y las versiones afectadas. Desde entonces BleepingComputer, SecurityWeek, CSO Online, el Canadian Centre for Cyber Security e INCIBE-CERT han añadido lo que faltaba: el componente afectado, las condiciones de configuración, una mitigación temporal y la inclusión en el catálogo KEV de CISA.

El fallo: la autenticación secundaria en los tunnel groups

Según la descripción de Cisco recogida por los medios, la vulnerabilidad se debe a errores lógicos en el servicio Remote Access SSL VPN cuando en un tunnel group está configurada la autenticación secundaria. Un atacante remoto y no autenticado envía una petición manipulada al conectarse a la VPN SSL y provoca el reinicio inesperado del dispositivo, es decir, una denegación de servicio. SecurityWeek cita una aclaración de Cisco: para llegar al código vulnerable no hace falta un inicio de sesión VPN correcto.

La puntuación CVSS es 8.6 (alta), según SecurityWeek y CSO Online. El impacto descrito afecta a la disponibilidad: ninguna fuente habla de ejecución de código ni de acceso a datos. En términos de MITRE ATT&CK sigue siendo la técnica T1499.004 (Endpoint Denial of Service: Application or System Exploitation), ya indicada en el primer artículo.

Quién está realmente expuesto

Deben cumplirse las tres condiciones a la vez (SecurityWeek, CSO Online, INCIBE-CERT):

• el firewall ejecuta una versión de ASA o FTD sin corregir;
• el servicio de inicio de sesión de la VPN SSL es accesible: la configuración en ejecución contiene la palabra clave webvpn y la VPN SSL está activa en al menos una interfaz;
• al menos un tunnel group afectado usa autenticación secundaria (secondary-authentication-server-group).

El boletín, citado por CSO Online, explica cómo revisar los tunnel groups. Si está configurado tunnel-group-list enable, hay que revisarlos todos, incluido el predeterminado DefaultWEBVPNGroup. Si el comando no está o se ha quitado con no tunnel-group-list enable, hay que revisar igualmente DefaultWEBVPNGroup: desactivar la lista de grupos no elimina la exposición si el grupo predeterminado usa autenticación secundaria.

Según SecurityWeek, no son vulnerables los firewalls y las soluciones de gestión ofrecidos desde la nube, Secure Access ni Secure Firewall Management Center (FMC).

Versiones corregidas y un punto por aclarar

El primer artículo señalaba un valor ilegible para la rama 9.24 en el aviso francés. El Canadian Centre for Cyber Security y CSO Online lo aclaran: las correcciones de la rama 9.24 son 9.24.1.27 y 9.24.10.1. Las versiones corregidas son:

• ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, rama 9.23 (ver a continuación), 9.24.1.27 y 9.24.10.1;
• FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1.

En la rama 9.23 las fuentes no coinciden: el Canadian Centre for Cyber Security indica 9.23.1.4, mientras que CSO Online, como antes el CERT-FR, indica 9.23.1.48. Antes de planificar la actualización, comprueba la versión exacta en el boletín de Cisco o con Cisco Software Checker.

El mismo aviso canadiense (AV26-1102) cubre también vulnerabilidades de Node.js en Cisco Smart Software Manager On-Prem, corregidas en la versión 10-202610: es un boletín distinto, que no hay que confundir con esta CVE.

Explotación y contexto

Cisco tuvo constancia de la explotación en octubre, pero no ha publicado indicadores de compromiso ni información sobre atacantes y objetivos (BleepingComputer, SecurityWeek). El 29 de octubre CISA añadió la CVE-2026-76418 a su catálogo Known Exploited Vulnerabilities, según informa el Canadian Centre for Cyber Security. Según SecurityWeek, el fallo salió a la luz en un caso de soporte del TAC de Cisco y se atribuye a Eric Fernald.

Es el segundo zero-day de DoS en la VPN SSL de ASA y FTD en pocos meses, tras la CVE-2026-20349 de agosto, sobre la que ya escribimos. SecurityWeek precisa que no se sabe si detrás de ambos casos está el mismo actor. En cuanto a la superficie, BleepingComputer informa de que Shadowserver observa más de 51.000 Cisco ASA con VPN SSL expuestos en Internet, sin saber cuántos están ya actualizados o son honeypots: es un dato de una sola fuente.

Impacto para las empresas europeas e italianas

La combinación afectada, VPN SSL accesible desde Internet con un segundo factor en el tunnel group, es la típica del acceso remoto corporativo. Un atacante sin credenciales puede, por tanto, reiniciar el firewall y hacer caer a la vez el perímetro y el teletrabajo. Para las entidades sujetas a NIS2 es una vulnerabilidad explotada en un dispositivo perimetral: debe gestionarse con prioridades y plazos documentados, y una interrupción significativa debe evaluarse a efectos de notificación a la autoridad competente (en Italia, CSIRT Italia de la ACN). En el sector sanitario, donde médicos y proveedores usan a menudo la VPN, el riesgo es que los servicios clínicos queden inaccesibles.

Qué hacer ahora

1. Revisa la configuración de cada ASA y FTD: webvpn, interfaces con la VPN SSL activa, tunnel-group-list enable y secondary-authentication-server-group en todos los tunnel groups, incluido DefaultWEBVPNGroup.
2. Actualiza a la versión corregida de tu rama, empezando por los dispositivos expuestos a Internet; para la rama 9.23, confirma la versión con Cisco.
3. Si no puedes actualizar enseguida, valora la mitigación de Cisco: desactivar la autenticación secundaria en DefaultWEBVPNGroup o en los tunnel groups de la lista (según SecurityWeek, dependiendo de la configuración del grupo predeterminado, también desactivar la lista de grupos). Cisco la ha probado en un entorno de pruebas, pero advierte de que debilita el acceso remoto y puede afectar a la funcionalidad y al rendimiento: es una medida temporal que hay que decidir y documentar, no una alternativa a la actualización.
4. Vigila los reinicios: a falta de indicadores, busca reinicios inesperados sin cambios de configuración ni averías y caídas repentinas de muchas sesiones VPN, y conserva la información de diagnóstico del dispositivo antes de reiniciarlo a mano.
5. Trata cualquier reinicio sospechoso como un incidente de seguridad, no como una simple avería.

Cómo ayuda ARXDOME

ARX Expose muestra si tu empresa expone en Internet un portal VPN y con qué vulnerabilidades conocidas. ARX Sentry lleva los logs de los firewalls a un colector central y el mapa del NOC destaca los errores de las VPN, así un reinicio o una caída de sesiones quedan registrados también fuera del dispositivo. ARX Radar señala los ataques en curso contra tus direcciones públicas.

Última actualización: 29 de octubre de 2026