[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev":3,"prev-/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev":617,"next-/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev":594,"related-/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev":620,"author-Diego Herrera":639},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":571,"cta":572,"date":578,"dateModified":578,"description":579,"draft":580,"extension":581,"faq":582,"featured":580,"howto":594,"image":595,"imageAlt":596,"intent":597,"keywords":598,"meta":603,"navigation":604,"path":605,"publishedTime":606,"readingTime":607,"seo":608,"seoTitle":609,"stem":610,"tags":611,"__hash__":616},"blog/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev.md","Cisco ASA y Firepower: atacan la VPN SSL para reiniciar firewalls con CVE-2026-76418; la CISA da hasta el 1 de noviembre","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":560},"minimark",[11,68,79,84,168,175,181,185,192,230,252,255,258,262,265,327,396,400,407,439,442,450,454,457,491,495,536,548,551],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,39,40,43,44,47,48,51,52,55,56,59,60,63,64,67],"p",{},"Cisco publicó el ",[16,17,18],"strong",{},"miércoles 28 de octubre de 2026"," un aviso de seguridad para ",[16,21,22],{},"CVE-2026-76418",", una vulnerabilidad en ",[16,25,26],{},"Secure Firewall ASA"," y ",[16,29,30],{},"Secure Firewall Threat Defense (FTD)"," —el software de los equipos Firepower— que permite a un atacante ",[16,33,34],{},"sin credenciales"," hacer que el firewall ",[16,37,38],{},"se reinicie"," con una sola petición a la ",[16,41,42],{},"VPN SSL de acceso remoto",". Tiene calificación ",[16,45,46],{},"CVSS 8.6"," (alta) y Cisco confirmó que su equipo de respuesta (PSIRT) detectó ",[16,49,50],{},"explotación activa en octubre",". Hoy, ",[16,53,54],{},"jueves 29 de octubre",", la CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas (",[16,57,58],{},"KEV",") con un plazo de corrección de ",[16,61,62],{},"tres días",": el ",[16,65,66],{},"1 de noviembre",".",[12,69,70,71,74,75,78],{},"Es una denegación de servicio, no una intrusión: nadie entra a tu red con esta falla. Pero si tu firewall es el que da internet a la oficina y la VPN al personal que trabaja desde casa, un atacante puede ",[16,72,73],{},"apagarte la conexión cuantas veces quiera",". Y no es la primera vez este año: en agosto, ",[16,76,77],{},"CVE-2026-20349",", otra falla de denegación de servicio en el mismo servicio de VPN SSL, también se explotó y entró al KEV (BleepingComputer, Qualys).",[80,81,83],"h2",{"id":82},"qué-se-sabe","Qué se sabe",[85,86,87,100],"table",{},[88,89,90],"thead",{},[91,92,93,97],"tr",{},[94,95,96],"th",{},"Dato",[94,98,99],{},"Detalle",[101,102,103,112,120,128,136,144,152,160],"tbody",{},[91,104,105,109],{},[106,107,108],"td",{},"Vulnerabilidad",[106,110,111],{},"CVE-2026-76418 (bug CSCwx26625)",[91,113,114,117],{},[106,115,116],{},"Productos",[106,118,119],{},"Cisco Secure Firewall ASA Software y Secure FTD Software",[91,121,122,125],{},[106,123,124],{},"Calificación",[106,126,127],{},"CVSS 8.6, impacto alto",[91,129,130,133],{},[106,131,132],{},"Tipo",[106,134,135],{},"Valor de retorno no verificado que provoca una referencia a puntero nulo (CWE-690)",[91,137,138,141],{},[106,139,140],{},"Requisitos",[106,142,143],{},"Ninguno: remota, sin usuario, sin interacción; no hace falta un inicio de sesión exitoso",[91,145,146,149],{},[106,147,148],{},"Efecto",[106,150,151],{},"El equipo se reinicia de forma inesperada",[91,153,154,157],{},[106,155,156],{},"Explotación",[106,158,159],{},"Confirmada por Cisco; en el KEV desde el 29 oct 2026, plazo 1 nov",[91,161,162,165],{},[106,163,164],{},"Solución alternativa",[106,166,167],{},"No existe; hay una mitigación temporal",[12,169,170,171,174],{},"El aviso, en su versión 1.0 del 28 de octubre (19:15 GMT), atribuye la falla a errores de lógica cuando hay ",[16,172,173],{},"autenticación secundaria"," configurada en un perfil de conexión. Se descubrió al resolver un caso del soporte técnico de Cisco (TAC).",[12,176,177,180],{},[16,178,179],{},"No están afectados",", según Cisco: Cloud-delivered Firewall, cdFMC, Cisco Secure Access y Secure Firewall Management Center.",[80,182,184],{"id":183},"mi-firewall-es-vulnerable","¿Mi firewall es vulnerable?",[12,186,187,188,191],{},"Tienen que cumplirse ",[16,189,190],{},"las tres"," condiciones:",[193,194,195,202,221],"ol",{},[196,197,198,201],"li",{},[16,199,200],{},"Versión afectada"," de ASA o FTD (tabla abajo).",[196,203,204,207,208,212,213,216,217,67],{},[16,205,206],{},"VPN SSL de acceso remoto habilitada",": en la configuración aparece ",[209,210,211],"code",{},"webvpn"," con ",[209,214,215],{},"webvpn enable"," en al menos una interfaz. En FTD se ve en el FMC o el FDM, en ",[218,219,220],"em",{},"Devices > VPN > Remote Access",[196,222,223,226,227,67],{},[16,224,225],{},"Autenticación secundaria"," en algún perfil de conexión: el parámetro ",[209,228,229],{},"secondary-authentication-server-group",[12,231,232,233,236,237,240,241,244,245,247,248,251],{},"Un detalle que confunde: si tienes ",[209,234,235],{},"tunnel-group-list enable",", hay que revisar ",[16,238,239],{},"todos"," los perfiles, incluido ",[209,242,243],{},"DefaultWEBVPNGroup",", aunque no aparezcan en la pantalla de inicio de sesión. Si no tienes la lista activada, basta con revisar ",[209,246,243],{},"; desactivar la lista ",[16,249,250],{},"no"," elimina el riesgo si ese perfil usa autenticación secundaria.",[12,253,254],{},"Si ningún perfil usa autenticación secundaria, o si no usas VPN SSL en el firewall, esta falla no te alcanza. Ojo: si tu doble factor llega por un servidor de autenticación, confirma con quien lo configuró si está montado como autenticación secundaria del perfil. Y de todos modos conviene actualizar.",[256,257],"ad-banner",{},[80,259,261],{"id":260},"versiones-corregidas","Versiones corregidas",[12,263,264],{},"Primera versión corregida de cada rama, según el aviso de Cisco. Si tu rama ya no recibe mantenimiento, toca migrar a una que sí; Cisco remite a su Software Checker y a las guías de compatibilidad y actualización.",[85,266,267,277],{},[88,268,269],{},[91,270,271,274],{},[94,272,273],{},"Cisco Secure Firewall ASA",[94,275,276],{},"Primera versión corregida",[101,278,279,287,295,303,311,319],{},[91,280,281,284],{},[106,282,283],{},"9.16 y anteriores",[106,285,286],{},"9.16.4.104",[91,288,289,292],{},[106,290,291],{},"9.18",[106,293,294],{},"9.18.4.96",[91,296,297,300],{},[106,298,299],{},"9.20",[106,301,302],{},"9.20.4.50",[91,304,305,308],{},[106,306,307],{},"9.22",[106,309,310],{},"9.22.3.200",[91,312,313,316],{},[106,314,315],{},"9.23",[106,317,318],{},"9.23.1.48",[91,320,321,324],{},[106,322,323],{},"9.24",[106,325,326],{},"9.24.1.27 o 9.24.10.1",[85,328,329,338],{},[88,330,331],{},[91,332,333,336],{},[94,334,335],{},"Cisco Secure FTD",[94,337,276],{},[101,339,340,348,356,364,372,380,388],{},[91,341,342,345],{},[106,343,344],{},"7.0 y anteriores",[106,346,347],{},"7.0.11",[91,349,350,353],{},[106,351,352],{},"7.2",[106,354,355],{},"7.2.13",[91,357,358,361],{},[106,359,360],{},"7.4",[106,362,363],{},"7.4.9",[91,365,366,369],{},[106,367,368],{},"7.6",[106,370,371],{},"7.6.7",[91,373,374,377],{},[106,375,376],{},"7.7",[106,378,379],{},"7.7.14",[91,381,382,385],{},[106,383,384],{},"10.0",[106,386,387],{},"10.0.3",[91,389,390,393],{},[106,391,392],{},"10.1",[106,394,395],{},"10.1.1",[80,397,399],{"id":398},"si-no-puedes-actualizar-hoy","Si no puedes actualizar hoy",[12,401,402,403,406],{},"Cisco describe una ",[16,404,405],{},"mitigación temporal"," que desactiva el camino vulnerable:",[408,409,410,423],"ul",{},[196,411,412,418,419,422],{},[16,413,414,415,417],{},"Si ",[209,416,243],{}," no usa autenticación secundaria",": ejecutar ",[209,420,421],{},"no tunnel-group-list enable"," en el modo de configuración de WebVPN. El efecto secundario es que tus usuarios ya no eligen el perfil de una lista; tienen que conocer el nombre del perfil de conexión.",[196,424,425,430,431,434,435,438],{},[16,426,414,427,429],{},[209,428,243],{}," sí usa autenticación secundaria",": quitarla con ",[209,432,433],{},"no secondary-authentication-server-group",". Esto ",[16,436,437],{},"baja la seguridad"," de tu VPN.",[12,440,441],{},"Cisco insiste en que es temporal y en que la corrección real es actualizar. Si tu VPN depende de esa segunda autenticación, lo sensato es programar la actualización en las próximas horas, no desarmar la seguridad por semanas.",[443,444,447],"callout",{"icon":445,"title":446},"i-lucide-shield-alert","Un reinicio también es un incidente",[12,448,449],{},"Si en los últimos días tu firewall se reinició \"solo\" o la VPN se cayó sin explicación, revisa los registros del equipo y pide a tu proveedor el archivo de fallo (crashinfo). Una denegación de servicio no roba datos, pero puede ser ruido para distraer mientras pasa otra cosa, o la prueba de alguien que mide cuánto tardas en reaccionar.",[80,451,453],{"id":452},"también-entró-al-kev-esta-semana","También entró al KEV esta semana",[12,455,456],{},"La lista de la CISA del 28 y 29 de octubre trae otros tres pendientes que conviene cruzar con tu inventario:",[408,458,459,474,485],{},[196,460,461,464,465,470,471,473],{},[16,462,463],{},"GitLab, CVE-2026-97229."," La falla de CI/CD con calificación de 10 que ",[466,467,469],"a",{"href":468},"/blog/noticias/gitlab-cve-2026-97229-cicd-rce-critica","GitLab corrigió el 12 de octubre"," ya se explota: entró al KEV el 29 de octubre, también con plazo al ",[16,472,66],{},", y la CISA marca que requiere revisión forense. Si tienes GitLab propio y no actualizaste en dos semanas, actualiza y revisa si alguien entró.",[196,475,476,479,480,484],{},[16,477,478],{},"Kernel de Linux, CVE-2026-46300"," (28 de octubre, plazo 31 de octubre). Según la CISA, se puede encadenar con las fallas de PHP que contamos en ",[466,481,483],{"href":482},"/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre","la explotación activa de PHP2Shell"," para implantar webshells y ejecutar comandos como root. Servidores web Linux con PHP: kernel y PHP, los dos.",[196,486,487,490],{},[16,488,489],{},"VMware ESX, CVE-2026-41709"," (28 de octubre, plazo 11 de noviembre). Permite a alguien que ya tiene acceso de administrador hacer ciertas operaciones sin dejar registro. No abre la puerta, pero borra huellas.",[80,492,494],{"id":493},"qué-hacer-hoy","Qué hacer hoy",[193,496,497,503,509,515,525],{},[196,498,499,502],{},[16,500,501],{},"Identifica tus firewalls Cisco"," y su versión. Si los administra tu proveedor, pregúntale por escrito: ¿uso ASA o FTD?, ¿en qué versión?, ¿tengo VPN SSL con autenticación secundaria?",[196,504,505,508],{},[16,506,507],{},"Actualiza"," a la versión corregida de tu rama. Es una falla explotada con plazo de tres días en el KEV.",[196,510,511,512,514],{},"Si no puedes en las próximas horas, aplica la ",[16,513,405],{}," y deja fecha para la actualización.",[196,516,517,520,521,67],{},[16,518,519],{},"Limita quién puede llegar al portal de la VPN."," Si tu personal se conecta solo desde México, restringirlo reduce el ruido. A mediano plazo, vale la pena revisar si te conviene seguir con ",[466,522,524],{"href":523},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN tradicional o pasar a ZTNA",[196,526,527,530,531,535],{},[16,528,529],{},"Haz la lista"," de equipos expuestos a internet: firewall, VPN, GitLab, servidores web. Si no existe, el ",[466,532,534],{"href":533},"/blog/recurso/kit-ciberseguridad-basico","kit de ciberseguridad básico"," es un buen punto de partida.",[12,537,538,539,543,544,547],{},"Es el patrón de todo el año, desde ",[466,540,542],{"href":541},"/blog/noticias/cisco-fmc-cve-2026-20079-sandworm-qilin","Cisco FMC en septiembre"," hasta PHP2Shell este mes: ",[16,545,546],{},"el equipo que protege la red es el blanco",", y suele ser el último en actualizarse.",[12,549,550],{},"Fuentes: aviso de seguridad de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75 (v1.0, 28-oct-2026), catálogo KEV de la CISA (versión 2026.10.29), BleepingComputer y Qualys (sobre CVE-2026-20349, agosto de 2026).",[552,553],"call-to-action",{"description":554,"eyebrow":555,"icon":556,"label":557,"title":558,"to":559},"Revisamos versión, VPN y exposición de tu firewall Cisco, aplicamos la actualización o la mitigación en una ventana corta y te dejamos el inventario de lo que está expuesto a internet.","Firewalls y VPN","i-lucide-calendar-check","Agendar revisión","Tu firewall actualizado antes del fin de semana","/contacto",{"title":561,"searchDepth":562,"depth":563,"links":564},"",2,3,[565,566,567,568,569,570],{"id":82,"depth":562,"text":83},{"id":183,"depth":562,"text":184},{"id":260,"depth":562,"text":261},{"id":398,"depth":562,"text":399},{"id":452,"depth":562,"text":453},{"id":493,"depth":562,"text":494},"noticias",{"title":573,"description":574,"label":575,"to":576,"icon":577},"¿Sabes en qué versión está tu firewall?","Revisamos tu firewall Cisco, su VPN y su versión, aplicamos la actualización en una ventana corta y dejamos documentado quién lo parcha la próxima vez.","Ver servicio de redes","/servicios/redes","i-lucide-network","2026-10-29","Cisco confirmó ataques contra CVE-2026-76418 (CVSS 8.6), que reinicia firewalls ASA y FTD vía la VPN SSL. Entró al KEV el 29 de octubre. Versiones corregidas y mitigación.",false,"md",[583,586,588,591],{"question":584,"answer":585},"¿Qué hace CVE-2026-76418?","Permite que un atacante remoto, sin usuario ni contraseña, mande una petición manipulada al servicio de inicio de sesión de la VPN SSL de acceso remoto de un firewall Cisco ASA o FTD y lo haga reiniciarse. Es una denegación de servicio: no da acceso a la red, pero tumba internet y la VPN mientras el equipo arranca, y se puede repetir. Tiene CVSS 8.6 y Cisco confirmó que se explota desde octubre.",{"question":184,"answer":587},"Solo si se cumplen tres condiciones: corre una versión afectada de ASA o FTD, tiene habilitada la VPN SSL de acceso remoto (el comando webvpn enable en alguna interfaz) y algún perfil de conexión (tunnel group), incluido DefaultWEBVPNGroup, usa autenticación secundaria. Si no usas VPN SSL o no usas autenticación secundaria, esta falla no te alcanza.",{"question":589,"answer":590},"¿Cuál es el plazo para parchar?","La CISA la añadió a su catálogo KEV el 29 de octubre de 2026 con fecha límite del 1 de noviembre para las agencias federales de Estados Unidos: tres días. Ese plazo no obliga a empresas mexicanas, pero indica la prioridad: no es para la ventana de mantenimiento del mes que entra.",{"question":592,"answer":593},"¿Hay forma de mitigarla sin actualizar?","No hay solución alternativa que la corrija. Cisco describe una mitigación temporal que consiste en quitar la autenticación secundaria o desactivar la lista de perfiles de conexión, según cómo esté configurado DefaultWEBVPNGroup. Reduce la seguridad de la VPN y Cisco recomienda de todos modos actualizar.",null,"/images/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev.jpg","Firewall en un rack de oficina con luces de estado en rojo y un portátil mostrando una conexión VPN caída","informational",[599,600,601,602],"cve-2026-76418","cisco asa ftd vpn ssl vulnerabilidad","firepower denegacion de servicio explotada","cisa kev 29 octubre 2026",{},true,"/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev","2026-10-29T17:00:00-06:00",5,{"title":5,"description":579},"Cisco ASA/FTD: CVE-2026-76418 explotada, parche urgente","blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev",[612,613,614,615],"ciberseguridad","vulnerabilidades","redes","cisco","DsdIAEFkLp6XOT95mu7oRxgkL6YrrQd6eFjUHZXHb80",{"path":618,"title":619},"/blog/noticias/zendesk-ia-agentes-legacy-migracion-forzada-enero-2027","Zendesk migrará en automático sus bots de IA antiguos en enero y febrero de 2027: revisa tus flujos y lo que cuesta cada resolución",[621,627,633],{"path":622,"title":623,"description":624,"date":578,"category":571,"image":625,"imageAlt":626,"readingTime":607},"/blog/noticias/sorteo-buen-fin-2026-sat-comercios-500-millones","Sorteo del Buen Fin 2026: tu negocio también puede ganar si factura hasta 5 millones y se registra antes del 12 de noviembre","El decreto del DOF del 30 de septiembre fija hasta 500 millones en premios del Buen Fin 2026, también para negocios con ingresos de hasta 5 millones: requisitos","/images/blog/noticias/sorteo-buen-fin-2026-sat-comercios-500-millones.jpg","Terminal punto de venta cobrando con tarjeta en el mostrador de una tienda pequeña durante El Buen Fin",{"path":628,"title":629,"description":630,"date":578,"category":571,"image":631,"imageAlt":632,"readingTime":607},"/blog/noticias/purview-dspm-ia-clasico-se-retira-enero-2027","Microsoft pospone a finales de enero de 2027 el retiro del panel clásico que vigila lo que tu equipo comparte con la IA","Microsoft movió a finales de enero de 2027 el retiro de DSPM y DSPM para IA clásicos en Purview. Quién se afecta y qué revisar sobre datos en Copilot y ChatGPT.","/images/blog/noticias/purview-dspm-ia-clasico-se-retira-enero-2027.jpg","Tablero de seguridad de datos que muestra la actividad de empleados con asistentes de inteligencia artificial",{"path":634,"title":635,"description":636,"date":578,"category":571,"image":637,"imageAlt":638,"readingTime":607},"/blog/noticias/isr-2027-diputados-dictamen-4-noviembre-agencias-autos-margen-bajo","ISR 2027: Diputados dictaminará el 4 de noviembre la excepción para armadoras y gasolineras; las agencias de autos piden un decreto","La minuta del ISR ya está en Diputados y la Comisión de Hacienda la verá el 4 de noviembre. Las agencias de autos piden un decreto: con margen bajo, el tope dispara el ISR.","/images/blog/noticias/isr-2027-diputados-dictamen-4-noviembre-agencias-autos-margen-bajo.jpg","Calculadora y estado de resultados sobre un escritorio con autos nuevos de una agencia al fondo",{"id":640,"avatar":594,"bio":641,"entityType":642,"expertise":643,"extension":644,"meta":645,"name":6,"role":646,"slug":647,"social":594,"stem":648,"url":7,"__hash__":649},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]