Cisco corrige una falla ya explotada que reinicia sus firewalls ASA y FTD

Cisco confirmó que atacantes están explotando una falla en la VPN de sus firewalls Secure Firewall ASA y Secure Firewall Threat Defense (FTD) que los hace reiniciarse, y publicó la corrección el 28 de octubre a las 19:15 UTC (16:15 en Buenos Aires y São Paulo, 14:15 en Bogotá y Lima, 13:15 en Ciudad de México), según su aviso de seguridad. Un atacante sin usuario ni contraseña puede reiniciar el equipo desde internet, y Cisco dice que no hay una solución alternativa completa. Al día siguiente, la agencia de ciberseguridad de Estados Unidos (CISA) sumó la falla a su catálogo de vulnerabilidades explotadas.

Qué es la falla

Es un error de lógica en el servicio de VPN de acceso remoto por SSL, el que usan los empleados para conectarse a la red de la empresa desde afuera. Cuando un grupo de túnel (el perfil de conexión de la VPN) tiene configurada una autenticación secundaria, como un segundo factor contra otro servidor, una solicitud armada a propósito al conectarse hace que el equipo se reinicie. No hace falta iniciar sesión, porque el código vulnerable se alcanza antes del ingreso.

El resultado es una denegación de servicioAtaque o falla que deja un equipo, un servicio o una red sin poder responder a sus usuarios legítimos, por ejemplo porque se bloquea o se reinicia. Se conoce por la sigla en inglés DoS.. El atacante no toma el control del firewall ni roba datos, según el aviso, pero cada reinicio corta la VPN y, en un equipo perimetral, puede dejar sin conexión a toda una oficina mientras vuelve a arrancar.

A quién afecta

• Equipos con Secure Firewall ASA o FTD en versiones sin corregir, con la VPN SSL habilitada en al menos una interfaz y autenticación secundaria en algún grupo de túnel, incluido el grupo predeterminado DefaultWEBVPNGroup.
• Ocultar la lista de grupos en la pantalla de ingreso no elimina el riesgo si el grupo predeterminado usa autenticación secundaria.
• No están afectados Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access ni Secure Firewall Management Center.

Estado de explotación

Explotada. El equipo de respuesta a incidentes de Cisco (PSIRT) "tomó conocimiento de explotación activa" en octubre, según el aviso. La empresa no dijo quién ataca ni a qué organizaciones. CISA la dio de alta en su catálogo KEV el 29 de octubre y les dio a las agencias federales de Estados Unidos plazo hasta el 1 de noviembre para corregirla. CSO Online y Help Net Security publicaron el aviso antes de esa alta y por eso todavía la mencionan fuera del catálogo. No hay datos públicos de equipos expuestos ni de ataques en Latinoamérica.

Antecedentes

Es la segunda falla de la VPN de ASA y FTD explotada para reiniciar equipos en tres meses. En agosto, Cisco corrigió CVE-2026-20349, también de puntaje 8,6 y también explotada, según BleepingComputer. CISA la sumó a su catálogo el 11 de agosto.

Qué hacer

• Actualizar ASA y FTD a una versión corregida cuanto antes, con el verificador de software de Cisco para confirmar la rama.
• Revisar en la configuración si aparece secondary-authentication-server-group en algún grupo de túnel, incluido DefaultWEBVPNGroup.
• Mientras tanto, Cisco describe una mitigación que quita la autenticación secundaria, con no tunnel-group-list enable o no secondary-authentication-server-group según el caso. Baja la seguridad de la VPN y la empresa pide probarla antes.
• Vigilar reinicios inesperados del firewall, que pueden ser la señal de un ataque.

Ficha técnica

• CVE: CVE-2026-76418, CVSS 3.1 de 8,6, vector AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H, por red, sin autenticación ni interacción (ficha de NVD).
• CWE: CWE-690 (valor de retorno sin verificar que lleva a una referencia nula).
• Versiones corregidas de ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 y 9.24.10.1.
• Versiones corregidas de FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1.
• Identificador del error: CSCwx26625. Lo halló Eric Fernald, de Cisco, al resolver un caso de soporte.
• Aviso del fabricante: cisco-sa-asaftd-tunnel-dos-s6mgkb75, del 28 de octubre de 2026.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: 29 de octubre de 2026, con plazo al 1 de noviembre para las agencias federales.