CISA añade a KEV una vulnerabilidad de denegación de servicio en Cisco ASA y FTD

El 29 de octubre, CISA incorporó CVE-2026-76418 al catálogo KEV, que reúne vulnerabilidades con evidencia de explotación. El aviso afecta al servicio Remote Access SSL VPN de Cisco Secure Firewall ASA y FTD: un atacante remoto sin autenticación puede provocar que el equipo se reinicie de forma inesperada. El resultado documentado es una denegación de servicio, no ejecución de código ni acceso automático al tráfico cifrado. CISA fija el 1 de noviembre como fecha de remediación para agencias federales estadounidenses; para el resto de organizaciones, esa fecha no es una obligación legal, aunque la inclusión sí confirma que el riesgo ya no es teórico.

El reinicio depende de la configuración

Cisco atribuye el fallo a errores lógicos cuando se configura autenticación secundaria en un grupo de túneles. Por tanto, el nombre del producto no basta para saber si un firewall está expuesto: hay que comprobar la rama de software, que Remote Access SSL VPN esté disponible y que el grupo de túneles use ese segundo paso de autenticación. La posibilidad de explotación remota sin credenciales no significa que cualquier ASA o FTD conectado a Internet sea vulnerable en cualquier configuración.

Una recarga inesperada interrumpe las sesiones VPN y puede dejar a usuarios sin acceso remoto hasta que el equipo vuelva a prestar servicio. En una sede pequeña, eso quizá sea una interrupción localizada; en un concentrador que atiende personal de guardia, terceros o varias delegaciones, el mismo reinicio puede cortar una parte significativa del acceso corporativo. El efecto depende de dónde termina la VPN y de cuántas rutas de acceso alternativas sobreviven al fallo del dispositivo.

-InfraCrew dice: En un firewall perimetral, el botón de reinicio no es una función de alta disponibilidad.-

La inclusión en KEV merece atención porque Cisco dice que su equipo de respuesta conocía explotación activa desde octubre. El advisory asigna CVSS 8.6, pero el número no sustituye al análisis de la configuración real: aquí el efecto principal es disponibilidad y el vector necesita el servicio y la autenticación secundaria en el contexto descrito. Tampoco hay indicios en estas fuentes de que el fallo permita robar credenciales o modificar reglas. Mantener separados el hecho confirmado y las consecuencias hipotéticas evita convertir una caída de VPN en una intrusión que las fuentes no acreditan.

Qué revisar antes de elegir la actualización

Cisco no ofrece un workaround que corrija la vulnerabilidad y recomienda instalar una versión fija. La primera versión segura cambia según la rama de ASA o FTD, así que no conviene trasladar el número de un modelo o rama a toda la flota. Contrasta la versión instalada con la tabla del advisory, incluye appliances de laboratorio y recuperación en el inventario y confirma que la descarga y la ruta de actualización correspondan a esa plataforma. Si hay varios terminadores VPN, la prioridad práctica son los que atienden conexiones remotas desde redes no confiables.

-InfraCrew dice: «El firewall» en el inventario suele ser una fila; en la ventana de cambio son modelos, ramas y dependencias distintas.-

Antes del cambio, identifica qué autenticación y grupos de túneles están realmente activos y documenta el impacto de una recarga durante la ventana. Desactivar la autenticación secundaria no equivale a aplicar el parche: reduce una condición que Cisco describe, pero debilitaría un control de acceso y no debe improvisarse como mitigación general. Si el servicio no se puede actualizar de inmediato, limita la exposición de gestión y de los servicios perimetrales de acuerdo con la arquitectura existente, sin presentar esas medidas como solución a CVE-2026-76418.

Después de actualizar, verifica la versión que ejecuta cada appliance, el establecimiento de túneles y el comportamiento de la autenticación secundaria. Revisa también si una conexión se interrumpe o si quedan sesiones sin recuperar; la corrección solo cuenta cuando el equipo que recibe tráfico ejecuta el build fijo. La prioridad es alta para los equipos que cumplen las condiciones, pero la respuesta no requiere atribuir al fallo capacidades que Cisco no describe: el problema confirmado es una recarga provocable y la pérdida de disponibilidad asociada.

-InfraCrew dice: Un cambio queda cerrado cuando el túnel vuelve y la versión coincide, no cuando el paquete aparece en el repositorio.-

Diccionario de la Crew

KEV — Catálogo de CISA de vulnerabilidades conocidas como explotadas; su inclusión confirma evidencia de explotación, pero no define por sí sola el alcance en una red concreta.

ASA — Adaptive Security Appliance, familia de firewalls Cisco Secure Firewall.

FTD — Firewall Threat Defense, software de firewall de Cisco.

SSL VPN — Acceso remoto que crea un túnel protegido mediante TLS para conectar usuarios con una red privada.