Atacantes explotan otro fallo en la VPN de Cisco

Cisco publicó el miércoles parches para una vulnerabilidad que ya se está explotando en la VPN SSL de acceso remoto de sus cortafuegos Secure Firewall ASA y Secure Firewall Threat Defense (FTD). Según SecurityWeek, es el segundo día cero que afecta a estos equipos desde agosto.

Qué pasa

El fallo, identificado como CVE-2026-76418 y con una puntuación CVSS de 8,6, permite a un atacante remoto y sin autenticar forzar el reinicio del dispositivo y dejarlo sin servicio. Cisco lo atribuye a errores de lógica en los grupos de túneles configurados con autenticación secundaria. Basta con una petición maliciosa durante la conexión a la VPN SSL. «No hace falta iniciar sesión con éxito en la VPN para llegar a la ruta de procesamiento afectada», advierte la compañía.

Para que el ataque funcione tienen que darse tres condiciones: una versión sin parchear, el servicio de inicio de sesión de la VPN SSL accesible y la autenticación secundaria activada en un grupo de túneles afectado. Según Cisco, no son vulnerables sus servicios de cortafuegos en la nube, Secure Access ni Secure Firewall Management Center.

Qué hay que hacer

Actualizar. Estas son las primeras versiones corregidas que recoge INCIBE-CERT:

• ASA: 9.16.4.104 (para la 9.16 y anteriores), 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 y 9.24.1.27 o 9.24.10.1.
• FTD: 7.0.11 (para la 7.0 y anteriores), 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1.

No hay soluciones alternativas. Según la configuración del grupo de túneles predeterminado, se puede reducir la exposición desactivando la lista de grupos de túneles o quitando la autenticación secundaria. La propia Cisco avisa de que esto último debilita la seguridad del acceso remoto y recomienda actualizar.

Lo que no se sabe

El equipo de seguridad de Cisco supo en octubre que el fallo se estaba explotando, pero no ha dado detalles de los ataques ni de quién está detrás. El problema salió a la luz en un caso de soporte técnico, y la compañía atribuye el hallazgo a Eric Fernald.

En agosto Cisco ya corrigió otro día cero, el CVE-2026-20349, que también permitía reiniciar estos equipos a distancia y sin autenticación a través de la misma VPN. Tampoco entonces dio detalles, y no está claro si ambos fallos los ha explotado el mismo grupo. Es un recordatorio incómodo: el aparato que protege la puerta de entrada de la red es también el primer sitio por el que se puede tumbar.

Fuentes: SecurityWeek, INCIBE-CERT