Cisco ASA y Firepower: atacan la VPN SSL para reiniciar firewalls con CVE-2026-76418; la CISA da hasta el 1 de noviembre

Cisco publicó el miércoles 28 de octubre de 2026 un aviso de seguridad para CVE-2026-76418, una vulnerabilidad en Secure Firewall ASA y Secure Firewall Threat Defense (FTD) —el software de los equipos Firepower— que permite a un atacante sin credenciales hacer que el firewall se reinicie con una sola petición a la VPN SSL de acceso remoto. Tiene calificación CVSS 8.6 (alta) y Cisco confirmó que su equipo de respuesta (PSIRT) detectó explotación activa en octubre. Hoy, jueves 29 de octubre, la CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas (KEV) con un plazo de corrección de tres días: el 1 de noviembre.

Es una denegación de servicio, no una intrusión: nadie entra a tu red con esta falla. Pero si tu firewall es el que da internet a la oficina y la VPN al personal que trabaja desde casa, un atacante puede apagarte la conexión cuantas veces quiera. Y no es la primera vez este año: en agosto, CVE-2026-20349, otra falla de denegación de servicio en el mismo servicio de VPN SSL, también se explotó y entró al KEV (BleepingComputer, Qualys).

Qué se sabe

El aviso, en su versión 1.0 del 28 de octubre (19:15 GMT), atribuye la falla a errores de lógica cuando hay autenticación secundaria configurada en un perfil de conexión. Se descubrió al resolver un caso del soporte técnico de Cisco (TAC).

No están afectados, según Cisco: Cloud-delivered Firewall, cdFMC, Cisco Secure Access y Secure Firewall Management Center.

¿Mi firewall es vulnerable?

Tienen que cumplirse las tres condiciones:

1. Versión afectada de ASA o FTD (tabla abajo).
2. VPN SSL de acceso remoto habilitada: en la configuración aparece webvpn con webvpn enable en al menos una interfaz. En FTD se ve en el FMC o el FDM, en Devices > VPN > Remote Access.
3. Autenticación secundaria en algún perfil de conexión: el parámetro secondary-authentication-server-group.

Un detalle que confunde: si tienes tunnel-group-list enable, hay que revisar todos los perfiles, incluido DefaultWEBVPNGroup, aunque no aparezcan en la pantalla de inicio de sesión. Si no tienes la lista activada, basta con revisar DefaultWEBVPNGroup; desactivar la lista no elimina el riesgo si ese perfil usa autenticación secundaria.

Si ningún perfil usa autenticación secundaria, o si no usas VPN SSL en el firewall, esta falla no te alcanza. Ojo: si tu doble factor llega por un servidor de autenticación, confirma con quien lo configuró si está montado como autenticación secundaria del perfil. Y de todos modos conviene actualizar.

Versiones corregidas

Primera versión corregida de cada rama, según el aviso de Cisco. Si tu rama ya no recibe mantenimiento, toca migrar a una que sí; Cisco remite a su Software Checker y a las guías de compatibilidad y actualización.

Si no puedes actualizar hoy

Cisco describe una mitigación temporal que desactiva el camino vulnerable:

• Si DefaultWEBVPNGroup no usa autenticación secundaria: ejecutar no tunnel-group-list enable en el modo de configuración de WebVPN. El efecto secundario es que tus usuarios ya no eligen el perfil de una lista; tienen que conocer el nombre del perfil de conexión.
• Si DefaultWEBVPNGroup sí usa autenticación secundaria: quitarla con no secondary-authentication-server-group. Esto baja la seguridad de tu VPN.

Cisco insiste en que es temporal y en que la corrección real es actualizar. Si tu VPN depende de esa segunda autenticación, lo sensato es programar la actualización en las próximas horas, no desarmar la seguridad por semanas.

También entró al KEV esta semana

La lista de la CISA del 28 y 29 de octubre trae otros tres pendientes que conviene cruzar con tu inventario:

• GitLab, CVE-2026-97229. La falla de CI/CD con calificación de 10 que GitLab corrigió el 12 de octubre ya se explota: entró al KEV el 29 de octubre, también con plazo al 1 de noviembre, y la CISA marca que requiere revisión forense. Si tienes GitLab propio y no actualizaste en dos semanas, actualiza y revisa si alguien entró.
• Kernel de Linux, CVE-2026-46300 (28 de octubre, plazo 31 de octubre). Según la CISA, se puede encadenar con las fallas de PHP que contamos en la explotación activa de PHP2Shell para implantar webshells y ejecutar comandos como root. Servidores web Linux con PHP: kernel y PHP, los dos.
• VMware ESX, CVE-2026-41709 (28 de octubre, plazo 11 de noviembre). Permite a alguien que ya tiene acceso de administrador hacer ciertas operaciones sin dejar registro. No abre la puerta, pero borra huellas.

Qué hacer hoy

1. Identifica tus firewalls Cisco y su versión. Si los administra tu proveedor, pregúntale por escrito: ¿uso ASA o FTD?, ¿en qué versión?, ¿tengo VPN SSL con autenticación secundaria?
2. Actualiza a la versión corregida de tu rama. Es una falla explotada con plazo de tres días en el KEV.
3. Si no puedes en las próximas horas, aplica la mitigación temporal y deja fecha para la actualización.
4. Limita quién puede llegar al portal de la VPN. Si tu personal se conecta solo desde México, restringirlo reduce el ruido. A mediano plazo, vale la pena revisar si te conviene seguir con VPN tradicional o pasar a ZTNA.
5. Haz la lista de equipos expuestos a internet: firewall, VPN, GitLab, servidores web. Si no existe, el kit de ciberseguridad básico es un buen punto de partida.

Es el patrón de todo el año, desde Cisco FMC en septiembre hasta PHP2Shell este mes: el equipo que protege la red es el blanco, y suele ser el último en actualizarse.

Fuentes: aviso de seguridad de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75 (v1.0, 28-oct-2026), catálogo KEV de la CISA (versión 2026.10.29), BleepingComputer y Qualys (sobre CVE-2026-20349, agosto de 2026).