Cisco confirmó la explotación activa de un zero-day en sus firewalls. El aviso publicado el 28 de octubre de 2026 corrige CVE-2026-76418 (CVSS 8,6), una falla en el servicio Remote Access SSL VPN de Cisco Secure Firewall ASA y Secure Firewall Threat Defense (FTD) que permite a un atacante remoto sin autenticación forzar la recarga del equipo y provocar una denegación de servicio (DoS). Cisco ya publicó versiones corregidas.
Para empresas, bancos e ISP de Colombia y LATAM que dependen de ASA o FTD para el acceso remoto, esto significa una cosa: si el firewall se reinicia, se cae la VPN y con ella el trabajo remoto, las conexiones con sucursales y parte del servicio a clientes.
Qué confirmó Cisco
- Origen: errores lógicos cuando hay autenticación secundaria configurada en un tunnel group.
- Ataque: una petición manipulada al conectarse a la VPN SSL de acceso remoto hace que el equipo se recargue.
- Sin login: según Cisco, no se requiere un inicio de sesión VPN exitoso para alcanzar el código vulnerable.
- Explotación: el Cisco PSIRT detectó explotación activa en octubre de 2026. Cisco no ha compartido indicadores de compromiso, ni quién está detrás, ni la escala de los ataques.
- Exposición: según BleepingComputer, Shadowserver rastrea más de 51.000 equipos Cisco ASA con VPN SSL expuestos en internet.
¿Tu firewall es vulnerable?
Cisco indica que el equipo está afectado si se cumplen las tres condiciones:
- Corre una versión vulnerable de ASA o FTD.
- El servicio de login de la VPN SSL de acceso remoto es alcanzable (la configuración contiene
webvpny la VPN SSL está habilitada en al menos una interfaz:webvpn enable <interfaz>). - Hay autenticación secundaria (
secondary-authentication-server-group) en el alcance del tunnel group.
Si tunnel-group-list enable está configurado, revisa todos los tunnel groups, incluido el predeterminado DefaultWEBVPNGroup, aunque no aparezcan en la lista de la página de login. Si el group list está deshabilitado, revisa igual el DefaultWEBVPNGroup: deshabilitar la lista no elimina la exposición si ese grupo usa autenticación secundaria. En FTD, revisa la política de VPN de acceso remoto desplegada y la configuración resultante en Secure FMC o FDM.
Cisco confirma que no están afectados Cloud-delivered Firewall (CDFW), cdFMC, Secure Access ni Secure FMC Software.
Versiones corregidas
| Cisco Secure Firewall ASA | Primera versión corregida |
|---|---|
| 9.16 y anteriores | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 y 9.24.10.1 |
| Cisco Secure FTD | Primera versión corregida |
|---|---|
| 7.0 y anteriores | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
Valida tu versión exacta con el Cisco Software Checker antes de planear la ventana de cambio.
Qué hacer hoy (checklist para admins)
- Inventaría todos los ASA y FTD con VPN SSL de acceso remoto habilitada, incluidos equipos de sucursales y de clientes administrados.
- Revisa la autenticación secundaria en cada tunnel group, incluido DefaultWEBVPNGroup.
- Actualiza a la versión corregida de tu tren. Cisco insiste en que la actualización es la única remediación.
- Si no puedes actualizar de inmediato, aplica la mitigación temporal (abajo) evaluando el impacto.
- Monitorea recargas inesperadas del firewall y caídas de la VPN remota, y ten listo un plan de contingencia para el acceso remoto.
Mitigación temporal (solo mientras actualizas)
Cisco aclara que no hay workarounds, pero sí una mitigación:
- Caso 1: si DefaultWEBVPNGroup no usa autenticación secundaria, deshabilita la lista de tunnel groups con
no tunnel-group-list enableen modo de configuración WebVPN. Los usuarios tendrán que conocer el perfil de conexión correcto. - Caso 2: si DefaultWEBVPNGroup sí usa autenticación secundaria, elimínala con
no secondary-authentication-server-group. Esto reduce la postura de seguridad de la VPN, así que trátalo como algo temporal.
Por qué importa para empresas e ISP en LATAM
ASA y FTD están en el perímetro de muchas empresas, entidades financieras, proveedores de internet y MSP de la región. Un DoS repetido contra el firewall no roba datos por sí solo, pero corta el acceso remoto, interrumpe la operación y puede usarse como distracción. No es la primera vez: según BleepingComputer, Cisco ya había corregido en agosto otro zero-day de DoS en ASA/FTD (CVE-2026-20349). Tener el inventario de versiones al día es lo que permite reaccionar en horas y no en semanas. Si quieres priorizar con criterio, revisa nuestra guía sobre EPSS y CISA KEV para priorizar vulnerabilidades y sobre la administración de parches según CIS.
Cómo te ayuda NESS
NESS Unified IT Defense reúne inventario de activos, gestión de vulnerabilidades y monitoreo de infraestructura en una sola consola. Así sabes qué equipos de red tienes, qué versión corren y cuándo uno se reinicia o deja de responder, sin depender de hojas de cálculo.
Preguntas frecuentes
¿Está CVE-2026-76418 en el catálogo KEV de CISA?
Al cierre de esta nota (29 de octubre de 2026, mañana en Colombia), la versión más reciente del catálogo KEV (28 de octubre) no la incluía. Cisco sí confirma explotación activa, así que no esperes a CISA para actuar.
¿Un atacante puede robar datos con esta falla?
El impacto descrito por Cisco es denegación de servicio: el equipo se recarga. Cisco no reporta impacto en confidencialidad ni integridad.
¿Si no uso autenticación secundaria estoy a salvo?
Según Cisco, la condición de vulnerabilidad requiere autenticación secundaria en el tunnel group. Verifica todos los grupos, incluido DefaultWEBVPNGroup, y actualiza de todas formas.
Parchea tus firewalls hoy
Agenda una demo de NESS y mantén inventario, parcheo y monitoreo desde una sola consola.
Fuentes
- Cisco, aviso cisco-sa-asaftd-tunnel-dos-s6mgkb75 (28 oct 2026)
- The Hacker News, Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls (29 oct 2026)
- BleepingComputer, New Cisco firewall zero-day exploited to crash SSL VPN devices (29 oct 2026)
- CISA, Known Exploited Vulnerabilities Catalog
