Cisco ha parcheado CVE-2026-76418, un fallo de día cero en la VPN SSL de sus cortafuegos ASA y FTD que ya se explota para reiniciarlos en remoto y sin autenticarse. Afecta a quien tenga la VPN expuesta a internet con autenticación secundaria en un grupo de túnel. Comprueba la versión hoy y actualiza.
Lo esencial
- CVE-2026-76418, CVSS 8.6: denegación de servicio remota y sin autenticación en el servicio de VPN SSL de acceso remoto de Cisco Secure Firewall ASA y Secure FTD. El equipo se recarga de forma inesperada (The Hacker News).
- Cisco publicó los parches el 29 de octubre. Su equipo PSIRT supo de la explotación activa en octubre, pero no ha dado indicadores de compromiso ni datos sobre quién ataca ni a quién.
- CISA añadió el fallo a su catálogo de vulnerabilidades explotadas (KEV) el 29 de octubre (CISA).
- Shadowserver registra más de 51.000 Cisco ASA con VPN SSL expuestos en internet, sin precisar cuántos están parcheados (BleepingComputer).
- Es el segundo día cero de denegación de servicio en estos cortafuegos desde agosto, tras CVE-2026-20349.
¿Me afecta si tengo un Cisco para la VPN de teletrabajo?
Si usas un cortafuegos Cisco ASA o Firepower (FTD) para la VPN de la plantilla o para conectar oficinas, es posible. Según Cisco, el equipo es vulnerable si se cumplen tres condiciones a la vez:
- Ejecuta una versión afectada.
- El servicio de login de la VPN SSL es alcanzable.
- Hay autenticación secundaria configurada en el ámbito de un grupo de túnel.
El origen son errores lógicos en esa configuración. Basta una petición manipulada al conectarse a la VPN SSL, y el atacante no necesita un login correcto para llegar a la parte vulnerable. Si lo gestiona tu proveedor de TI, la pregunta es para él. Si no usas Cisco, no te afecta.
¿Qué versión necesito?
Versiones corregidas de ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, y 9.24.1.27 o 9.24.10.1.
Versiones corregidas de FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1.
Si tu equipo no está en una de estas versiones o posterior dentro de su rama, hay que actualizar.
¿Y si no puedo parchear hoy?
Cisco propone una mitigación temporal: desactivar la autenticación secundaria en el grupo de túnel por defecto (DefaultWEBVPNGroup) y en cualquier grupo creado por el usuario. Si DefaultWEBVPNGroup no usa autenticación secundaria, la alternativa es desactivar la lista de grupos de túnel.
Tiene un coste: reduces la seguridad del acceso a la VPN. Y, como señala BleepingComputer, Cisco no ofrece un workaround que resuelva el problema por completo. Es un parche provisional, no una solución.
Qué hacer hoy
- Averigua si tienes Cisco ASA o FTD. Si no lo sabes, pregúntaselo hoy a tu proveedor de TI por escrito.
- Pide la versión exacta instalada y compárala con las corregidas de arriba.
- Confirma si hay autenticación secundaria configurada en algún grupo de túnel.
- Si la versión es vulnerable, programa la actualización cuanto antes, aunque suponga un corte breve fuera de horario.
- Si no puedes actualizar hoy, aplica la mitigación de Cisco y anota que es temporal.
- Revisa que la interfaz de la VPN no esté expuesta a internet sin necesidad.
- Si el cortafuegos se ha reiniciado sin explicación, trátalo como sospechoso y avisa a tu proveedor o a INCIBE-CERT, que publicó el 29 de octubre un aviso sobre múltiples vulnerabilidades en productos de Cisco.
Qué significa para una pyme
Este fallo no sirve, según lo descrito, para robar datos. Sirve para tirar el equipo. Pero en una pyme el cortafuegos suele ser la única puerta: si se reinicia una y otra vez, la plantilla en remoto se queda sin VPN y quizá la oficina sin salida a internet. Para una empresa de 30 personas que teletrabaja, eso es un día perdido.
Lo que más nos preocupa es el patrón. Es el segundo día cero de este tipo en estos equipos desde agosto. Si tu cortafuegos solo se actualiza cuando alguien se acuerda, ese es el problema de fondo, no este CVE concreto.
Nuestra recomendación: trata el cortafuegos como un activo crítico con su propio calendario de parches. Pide a tu proveedor un compromiso claro de cuánto tarda en aplicar parches de fallos explotados y que te avise cuando lo haga. Si no tienes a nadie que lo vigile, es justo el tipo de tarea que conviene externalizar con criterio; lo cubrimos en nuestro servicio de ciberseguridad.
Preguntas frecuentes
¿Pueden robarme datos con este fallo?
Cisco lo describe como una denegación de servicio: el equipo se recarga de forma inesperada. El riesgo principal es quedarte sin VPN ni red.
¿Basta con aplicar la mitigación?
No. Es temporal, reduce la seguridad del acceso y Cisco no ofrece un workaround que resuelva el problema por completo. Hay que actualizar.
¿Cómo sé si ya me han atacado?
Cisco no ha publicado indicadores de compromiso. La señal práctica son reinicios del cortafuegos que nadie sabe explicar.
Fuentes
- The Hacker News – Cisco Patches Actively Exploited ASA and FTD VPN Flaw That Can Crash Firewalls
- BleepingComputer – New Cisco firewall zero-day exploited to crash SSL VPN devices
- CISA – CISA Adds Two Known Exploited Vulnerabilities to Catalog
- INCIBE-CERT – Avisos (Múltiples vulnerabilidades en productos de Cisco, 29/10/2026)
