El 28 de octubre de 2026 Cisco publicó parches para CVE-2026-76418, una vulnerabilidad de severidad alta (CVSS 8.6) en el servicio de VPN SSL de acceso remoto de Secure Firewall ASA (Adaptive Security Appliance) y Secure Firewall Threat Defense (FTD). Un atacante remoto y sin autenticar puede provocar que el equipo se reinicie de forma inesperada, generando una denegación de servicio (DoS). Cisco confirmó explotación activa en octubre de 2026.
Resumen
| CVE | CVE-2026-76418 |
| Productos | Cisco Secure Firewall ASA y Secure Firewall FTD |
| Componente | Servicio de VPN SSL de acceso remoto |
| Tipo | Retorno no verificado → desreferencia de puntero NULL (CWE-476) |
| Impacto | Reinicio del dispositivo · denegación de servicio |
| Autenticación | No requiere (no hace falta un login exitoso) |
| Puntaje | 8.6 · Alto (CVSS) |
| Publicación | 28/10/2026 |
| Explotación activa | Sí (agregada al catálogo KEV de CISA el 30/10/2026) |
¿En qué consiste?
La falla está en la lógica del servicio de VPN SSL de acceso remoto cuando hay autenticación secundaria configurada en un tunnel group. Según Cisco, se trata de errores de lógica: al conectarse al VPN, un atacante envía una petición manipulada y el dispositivo termina recargándose. CISA lo describe técnicamente como un valor de retorno no verificado que deriva en una desreferencia de puntero NULL -el programa usa un puntero que esperaba válido sin comprobar que la operación anterior haya fallado, y al acceder a memoria inválida el proceso cae.
El detalle crítico: no hace falta un login exitoso para llegar al código vulnerable. Basta con que el servicio sea alcanzable y con que la petición manipulada llegue al camino de procesamiento afectado.
Condiciones para ser vulnerable
El equipo está expuesto si se cumplen las tres condiciones:
- Corre una versión vulnerable de ASA o FTD.
- El servicio de login del VPN SSL de acceso remoto es alcanzable.
- Hay autenticación secundaria configurada en el alcance de un tunnel group.
sin autenticar"] --> B{"El VPN SSL de acceso
remoto es alcanzable?"} B -- No --> Z["No explotable por esta via"] B -- Si --> C{"Hay autenticacion secundaria
en algun tunnel group?"} C -- No --> Z C -- Si --> D["Envia una peticion manipulada
al conectarse al VPN"] D --> E["Error de logica:
desreferencia de puntero NULL"] E --> F["El dispositivo se reinicia
Denegacion de servicio"] class A,D attacker; class B,C check; class E bug; class F impact; class Z safe;
Ojo con el tunnel group por defecto: Cisco advierte que, aunque se quite la lista de tunnel groups con
no tunnel-group-list enable, el grupo por defectoDefaultWEBVPNGroupsigue expuesto si usa autenticación secundaria. Hay que revisarlo explícitamente.
¿Qué hacer?
1. Actualizar a una versión corregida
Es la solución definitiva. Estas son las versiones con la corrección:
| Cisco Secure Firewall ASA | Corregida en |
|---|---|
| 9.16 y anteriores | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 y 9.24.10.1 |
| Cisco Secure FTD | Corregida en |
|---|---|
| 7.0 y anteriores | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
2. Mitigación temporal
Si no es posible actualizar de inmediato, Cisco recomienda quitar la exposición de la autenticación secundaria en el VPN SSL de acceso remoto:
- Si
DefaultWEBVPNGroupno usa autenticación secundaria, desactivá la lista de tunnel groups. - O desactivá la autenticación secundaria en cualquier tunnel group configurado por el usuario y en el grupo por defecto
DefaultWEBVPNGroup.
En FTD, Cisco aclara que hay que revisar la política de VPN de acceso remoto desplegada y la configuración resultante en el dispositivo (vía Secure FMC o Secure FDM), porque un login exitoso no es necesario para alcanzar el camino afectado.
3. Revisar si figura en tu configuración
! En ASA, revisar los tunnel groups que usan autenticacion secundaria
show running-config tunnel-group | include secondary-authentication-server-group
! Revisar explicitamente el grupo por defecto
show running-config tunnel-group DefaultWEBVPNGroup
4. Evaluar la exposición
Un VPN de acceso remoto es, por naturaleza, un servicio expuesto a Internet. Combinado con explotación activa, esto lo vuelve prioritario. Si no podés parchear en lo inmediato, restringí qué redes pueden alcanzar el servicio mientras preparás la actualización.
Fuentes
Fuente oficial:
Complementarias:
- NVD (NIST): CVE-2026-76418
- CVE.org: CVE-2026-76418
- CISA: Known Exploited Vulnerabilities Catalog
- The Hacker News: Cisco Patches Actively Exploited ASA and FTD VPN Flaw
Esta falla fue agregada al catálogo KEV de CISA junto con la de GitLab; lo cuento en CISA agrega a KEV las fallas de GitLab y Cisco.