Fallo en la VPN de firewalls Cisco ya explotado
Los atacantes aprovechan un fallo de Cisco ASA y FTD para reiniciar firewalls. A quién afecta, qué versiones lo corrigen y qué debe hacer su oficina.
Si el firewall de su oficina es un Cisco ASA o un Cisco Secure Firewall con FTD, y su personal se conecta a la oficina mediante la VPN de acceso remoto de Cisco, tiene una actualización pendiente. El 28 de octubre de 2026, Cisco dio a conocer el fallo CVE-2026-76418, que permite a un atacante desde internet hacer que el firewall se reinicie sin necesidad de contraseña. Cisco afirma que ya se está explotando, y la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) lo incluyó el 29 de octubre en su lista de vulnerabilidades explotadas.
Qué provoca el fallo
Según el aviso de seguridad de Cisco, un atacante remoto y sin autenticar puede provocar que el equipo se reinicie de forma inesperada. Es un fallo de denegación de servicio: Cisco no dice que permita entrar en la red ni robar datos. Pero cada reinicio deja a toda la oficina sin internet y desconecta a todos los usuarios de la VPN, y el atacante puede repetirlo. Cisco lo califica de gravedad alta, con una puntuación CVSS de 8,6, y señala que su equipo de seguridad detectó la explotación en octubre, sin indicar quién está detrás.
BleepingComputer recuerda que es el segundo fallo de este tipo explotado en estos firewalls desde agosto, cuando Cisco corrigió el CVE-2026-20349, y cita datos de Shadowserver que registran más de 51.000 equipos Cisco ASA con VPN SSL expuestos en internet. CISA dio a las agencias federales hasta el 1 de noviembre para corregirlo.
¿Está afectado su firewall?
Cisco indica que un equipo es vulnerable si se cumplen las tres condiciones:
- ejecuta una versión afectada del software ASA o FTD;
- el servicio de inicio de sesión de la VPN SSL de acceso remoto está accesible;
- hay autenticación secundaria configurada en un grupo de túnel de la VPN, por ejemplo un segundo servidor de inicio de sesión para la verificación en dos pasos.
Si nadie se conecta a su oficina con el cliente VPN o el portal web de Cisco, el fallo no le afecta. Si no sabe cómo se configuró la VPN, pregunte a quien instaló el firewall o busque el parámetro "secondary-authentication-server-group" en cada grupo de túnel, incluido el predeterminado.
Qué hacer
- Compruebe la versión de software del firewall y compárela con las versiones corregidas del aviso de Cisco. Por ejemplo, ASA 9.20 se corrige en 9.20.4.50 y 9.22 en 9.22.3.200; FTD 7.4 en 7.4.9 y 7.6 en 7.6.7. Las versiones anteriores tienen su propia versión corregida en la tabla.
- Programe la actualización en un momento tranquilo, porque el firewall se reinicia. Guarde antes una copia de la configuración y tenga a alguien en la oficina por si no arranca bien.
- Si no puede actualizar enseguida, Cisco describe una mitigación temporal. Depende de si el grupo VPN predeterminado usa autenticación secundaria, y una de las opciones reduce la seguridad de la VPN, así que úsela solo como solución provisional.
- Esté atento a reinicios sin explicación. Si la oficina ha sufrido cortes repentinos de internet o la VPN ha desconectado a todos últimamente, revise los registros del firewall.
- Verifique que el equipo sigue con soporte. Si es demasiado antiguo para recibir la versión corregida, es señal de que toca sustituirlo.
Que el personal remoto pueda seguir trabajando
Como este fallo interrumpe el servicio en lugar de abrir una puerta, el riesgo para el negocio es el tiempo perdido: personal remoto sin acceso, aplicaciones en la nube inaccesibles desde la oficina y teléfonos que dependen de internet sin línea. Conviene saber quién reiniciaría el firewall y cómo seguiría trabajando el equipo si cae en horario laboral.
A principios de mes tratamos otro fallo de firewall explotado en nuestro artículo sobre la omisión de MFA en la VPN SSL de SonicWall. Con nuestros servicios de instalación y gestión de redes y de gestión de parches, los firewalls de oficina se mantienen actualizados y vigilados. Si quiere que revisemos su firewall Cisco, llame al (213) 986-4855.