Cisco ha lanzado actualizaciones de seguridad para subsanar una vulnerabilidad de día cero de tipo denegación de servicio en el software Adaptive Security Appliance (ASA) y Threat Defense (FTD), que está siendo aprovechada por atacantes para provocar el reinicio remoto de los firewalls vulnerables.
Identificada como CVE-2026-76418, se trata de una falla de alta severidad que afecta a los equipos que ejecutan ASA y FTD con configuraciones que incluyen la palabra clave 'webvpn' y tienen SSL VPN habilitado en al menos una interfaz.
La explotación exitosa permite a atacantes remotos no autenticados desencadenar una condición de denegación de servicio (DoS), lo que hace que el dispositivo se reinicie de forma inesperada.
Cisco recomendó a los clientes aplicar los parches después de que su equipo de respuesta a incidentes de seguridad de productos (PSIRT) detectara a principios de este mes indicios de explotación activa. Sin embargo, la compañía no ha proporcionado indicadores de compromiso ni detalles adicionales sobre los ataques, como qué organizaciones están siendo objetivo o quién está explotando la falla.
Esta vulnerabilidad se debe a errores de lógica cuando se configura la autenticación secundaria en un grupo de túneles. Un atacante podría explotarla enviando una solicitud manipulada al conectarse a la VPN de acceso remoto SSL. Una explotación exitosa podría permitir al atacante provocar el reinicio del dispositivo afectado, lo que resultaría en una condición de DoS. En octubre de 2026, el PSIRT de Cisco tuvo conocimiento de la explotación activa de esta vulnerabilidad. Cisco recomienda encarecidamente a los clientes actualizar a una versión de software corregida para remediar esta vulnerabilidad.
Aunque Cisco no ofreció soluciones alternativas que aborden este problema de seguridad, los administradores que no puedan aplicar el parche de inmediato pueden mitigarlo deshabilitando la autenticación secundaria en el grupo de túneles predeterminado DefaultWEBVPNGroup o en cualquier lista de grupos de túneles configurada por el usuario.
Actualmente, la plataforma de monitoreo de Internet Shadowserver rastrea más de 51.000 dispositivos Cisco ASA con SSL VPN expuestos en línea, pero no proporciona información sobre cuántos ya han sido asegurados o son honeypots.
El año pasado, Cisco parcheó otras dos fallas (CVE-2025-20362 y CVE-2025-20333) que afectaban a los firewalls ASA y FTD en septiembre, y advirtió a los clientes de que los atacantes las habían explotado en ataques de día cero dirigidos a dispositivos de la serie 5500-X con servicios web VPN habilitados.
Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) emitió la Directiva de Emergencia 25-03, ordenando a las agencias federales asegurar sus dispositivos Cisco en un plazo de 24 horas.
Cisco vinculó los ataques a la campaña ArcaneDoor, que también había estado explotando otros dos días cero (CVE-2024-20353 y CVE-2024-20359) para infiltrarse en redes gubernamentales desde noviembre de 2023.
Más recientemente, en agosto, Cisco abordó otra vulnerabilidad de día cero de denegación de servicio (CVE-2026-20349) que los atacantes estaban explotando activamente para tumbar dispositivos ASA y FTD con sockets de escucha SSL habilitados. A principios de este mes también advirtió a los clientes que parchearan un día cero explotado activamente (CVE-2026-76519) en su solución de seguridad Secure Email Gateway (SEG) que permite a atacantes no autenticados ejecutar comandos de forma remota con privilegios de root.
Desde noviembre de 2021, CISA ha señalado 101 fallas de seguridad de Cisco como explotadas en el mundo real, siete de las cuales también fueron aprovechadas por bandas de ransomware.
Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta