Cisco ASA y FTD: DoS explotado en la VPN SSL, solo hot fix

El ColCERT, el CSIRT nacional de Colombia, ha publicado la alerta COLCERT AL-20260819-113 sobre la vulnerabilidad CVE-2026-20349, que afecta al servicio Remote Access SSL VPN de Cisco Secure Firewall ASA y Secure Firewall Threat Defense (FTD). Según la alerta, Cisco ha confirmado su explotación activa y la CISA incluyó la vulnerabilidad en el catálogo Known Exploited Vulnerabilities (KEV) el mismo día de su publicación.

Este artículo se basa en una sola fuente, la alerta del ColCERT, que a su vez recoge el boletín de Cisco y la alerta AL26-018 del Canadian Centre for Cyber Security: a continuación cada dato se atribuye al organismo colombiano.

Qué está pasando

Según el ColCERT, un atacante remoto y no autenticado puede enviar una única petición HTTP manipulada al portal VPN y provocar el reinicio inesperado del firewall, sin ninguna interacción del usuario. El ataque se puede repetir a voluntad, por lo que puede mantener el equipo fuera de servicio durante mucho tiempo.

El ColCERT subraya el efecto en cadena: cuando cae el firewall perimetral se interrumpen a la vez el control de acceso a la red y el teletrabajo de toda la organización. Cisco Secure Firewall Management Center (FMC) no está afectado.

Detalles técnicos

• CVE: CVE-2026-20349; boletín de Cisco cisco-sa-asaftd-vpn-dos-dzv4mQFF.
• Puntuación CVSS: 8.6 (alta). El vector indica impacto nulo en confidencialidad e integridad (C:N, I:N), impacto alto en disponibilidad (A:H) y alcance modificado (S:C).
• Debilidad: CWE-244, Improper Clearing of Heap Memory Before Release («heap inspection»).
• Condiciones: un equipo es vulnerable solo si ejecuta una versión afectada y tiene activa al menos una función que abre sockets SSL en escucha. La alerta indica que el riesgo es máximo cuando el portal VPN es accesible desde Internet, es decir, en la configuración habitual del acceso remoto. La lista exacta de versiones y funciones está en el boletín de Cisco.

Sobre la gravedad, el ColCERT hace dos precisiones. La primera: según Cisco no es una ejecución remota de código, no hay exposición de datos ni pruebas de que el atacante pueda tomar el control administrativo del equipo. La segunda: la debilidad asignada, según la definición de MITRE, se refiere a la exposición de información en la memoria heap, y el defecto de fondo es un problema de gestión del heap alcanzable sin autenticación a través del motor HTTP del portal VPN. Como en el pasado fallos de este tipo en este componente han llevado a escenarios más graves, el ColCERT recomienda tratarla con la misma urgencia que una RCE en un dispositivo perimetral. Es una valoración prudente del organismo, no un hecho comunicado por Cisco.

En términos de MITRE ATT&CK, la explotación descrita corresponde a T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

Sin workaround: solo hot fix

Según la alerta, Cisco ha confirmado que no existen workarounds ni configuraciones que compensen el riesgo. La corrección se distribuye solo como hot fix desde el Software Center: no forma parte de una versión normal de disponibilidad general, así que la actualización ordinaria del tren de software no basta.

El ColCERT señala algunos detalles prácticos:

• los hot fixes de ASA 9.16 y 9.18 tienen un número de versión que empieza por 89 (no es una errata);
• con estos hot fixes hay que instalar también ASDM 7.24.1.374: las versiones anteriores no reconocen esa numeración y se pierde el acceso a la consola de gestión;
• para FTD, cada tren tiene variantes específicas por plataforma (SSP, FP1K, FP2K, FP3K, Secure Firewall 1200/4200/6100): instala la variante exacta de tu hardware, nunca paquetes genéricos.

Como medidas temporales, la alerta menciona restringir el portal VPN con ACL por dirección de origen, que reduce la superficie de ataque pero no protege frente a quien consiga llegar al servicio, y desactivar la VPN, que elimina la exposición pero interrumpe el teletrabajo. Para el ColCERT esto último es una decisión de continuidad del negocio, que debe escalarse a la dirección y documentarse.

Impacto para las empresas europeas e italianas

La alerta es colombiana, pero la vulnerabilidad afecta a cualquiera que use ASA o FTD como firewall perimetral o concentrador VPN, en Europa como en otros lugares. Tal como lo describe el ColCERT, un ataque repetido puede dejar a una empresa sin acceso remoto y con el perímetro fuera de servicio, y no requiere credenciales.

Para las entidades sujetas a NIS2, el caso afecta a la gestión de las vulnerabilidades explotadas, con prioridades y plazos documentados, y a la continuidad operativa. Una interrupción significativa causada por un ataque debe valorarse a efectos de notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN). En el sector sanitario, donde la VPN suele conectar a médicos, proveedores y sedes externas, un firewall que se reinicia una y otra vez significa servicios clínicos inaccesibles.

Qué hacer ya

1. Haz el inventario de todos los ASA y FTD, marcando los que tienen el portal SSL VPN expuesto a Internet (el ColCERT habla de las primeras 24 horas).
2. Comprueba versión y funciones activas. Los comandos que sugiere la alerta: show version | include Version, show running-config webvpn, show running-config crypto ikev2, show running-config zero-trust (solo FTD) y show asp table socket | include SSL. Confirma el resultado con Cisco Software Checker.
3. Instala el hot fix correcto para tu versión y plataforma, empezando por los equipos expuestos a Internet; el ColCERT fija un plazo máximo de 72 horas. Ten en cuenta el tiempo de reinicio en la ventana de mantenimiento.
4. Busca señales de explotación. Cisco no ha publicado indicadores de compromiso atómicos (hashes, IP, dominios), así que la búsqueda es por comportamiento: reinicios sin cambios de configuración ni fallos de alimentación, reinicios repetidos en el mismo equipo, caídas simultáneas de muchas sesiones VPN en el syslog, picos de peticiones HTTP anómalas al puerto 443 de la interfaz externa desde pocos orígenes. El ColCERT sugiere revisar los registros de los últimos 30 días.
5. Conserva el archivo crashinfo antes de cualquier reinicio manual o actualización: según el ColCERT es la única prueba forense del evento y se sobrescribe.
6. Si usas Snort o FirePOWER, comprueba que las reglas 46897 y 59654 estén activas: son un control parcial y no sustituyen al hot fix.
7. Si encuentras rastros de explotación, gestiona el evento como un incidente de seguridad, no como una simple vulnerabilidad.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas si un portal VPN es accesible desde fuera. ARX Sentry recoge los registros de los firewalls en un colector central, y el mapa del NOC resalta los errores de las VPN: los reinicios y las caídas repentinas de sesiones son más fáciles de detectar y de reconstruir.

Última actualización: 9 de octubre de 2026