Una vulnerabilidad de alta gravedad que afecta a Cisco Secure Firewall ASA y FTD est谩 siendo explotada activamente. Identificada como CVE-2026-76418, esta falla representa un riesgo significativo para la disponibilidad de los dispositivos vulnerables conectados a internet.
La amenaza presente...
La principal amenaza es la vulnerabilidad CVE-2026-76418, un fallo en la funci贸n VPN SSL de acceso remoto de Cisco Secure Firewall ASA y FTD. Cuando se habilita la autenticaci贸n secundaria, como RADIUS, LDAP o Duo, en un grupo de t煤neles VPN, un atacante remoto puede enviar una solicitud de conexi贸n especialmente dise帽ada a la p谩gina de inicio de sesi贸n VPN p煤blica sin un nombre de usuario o contrase帽a v谩lidos.
El procesamiento de la solicitud provoca que el Firewall se recargue, interrumpiendo el acceso VPN y otro tr谩fico que depende del dispositivo. Los atacantes pueden repetir el proceso para crear una condici贸n de denegaci贸n de servicio (DoS) continua.
Los dispositivos son vulnerables si ejecutan una versi贸n afectada de ASA o FTD, exponen el servicio VPN de acceso remoto SSL y tienen configurada la autenticaci贸n secundaria en cualquier grupo de t煤neles, incluido el predeterminado DefaultWEBVPNGroup. No se requiere un inicio de sesi贸n VPN exitoso. Cisco ha confirmado la explotaci贸n activa, lo que significa que los firewalls con acceso a internet ya est谩n siendo atacados.
驴Por qu茅 es digno de menci贸n?
Esta vulnerabilidad afecta directamente a los firewalls perimetrales y a las pasarelas VPN, elementos cruciales para el acceso remoto y la disponibilidad de la red. Dado que la explotaci贸n no requiere autenticaci贸n, cualquiera que logre acceder a una p谩gina de inicio de sesi贸n VPN SSL vulnerable podr铆a provocar fallos repetidos en el dispositivo.
Dado que ya se han detectado casos de explotaci贸n en entornos reales, esto representa una amenaza real para las organizaciones que no han implementado parches de seguridad. Adem谩s, junto con otras actividades de elusi贸n de la autenticaci贸n SD-WAN, pone de manifiesto el creciente inter茅s de los atacantes en la infraestructura de seguridad y redes de Cisco.
驴Cu谩l es la exposici贸n o el riesgo?
Las organizaciones quedan expuestas si utilizan versiones vulnerables de ASA o FTD, permiten el acceso remoto a servicios VPN mediante SSL desde redes no confiables y emplean autenticaci贸n secundaria en un grupo de t煤neles. Un atacante podr铆a forzar de forma remota la recarga del firewall, interrumpiendo el acceso VPN y, potencialmente, otro tr谩fico gestionado por el dispositivo.
Para las organizaciones que dependen de un 煤nico firewall o de configuraciones de alta disponibilidad (HA) deficientes, la explotaci贸n de vulnerabilidades podr铆a provocar una p茅rdida generalizada de conectividad para trabajadores remotos, sucursales y aplicaciones con acceso a internet. Incluso con alta disponibilidad implementada, las fallas repetidas podr铆an desencadenar conmutaciones por error, inestabilidad y un rendimiento degradado.
Los atacantes tambi茅n podr铆an usar el ataque de denegaci贸n de servicio (DoS) como parte de una campa帽a m谩s amplia para distraer a los defensores o interrumpir la monitorizaci贸n mientras atacan otros sistemas. Las organizaciones con numerosos dispositivos expuestos, incluidos los proveedores de servicios gestionados (MSP) y los entornos multiusuario que dan soporte a m煤ltiples clientes, pueden enfrentarse a un mayor riesgo operativo.
En combinaci贸n con la explotaci贸n de la vulnerabilidad de omisi贸n de autenticaci贸n de Cisco SD-WAN, esta actividad pone de relieve el riesgo m谩s amplio de que la infraestructura de enrutamiento, VPN y plano de control se convierta en objetivo de actores maliciosos sofisticados.
驴Cu谩les son las recomendaciones?
Las recomendaciones siguientes buscan reducir el riesgo de explotaci贸n y proteger la infraestructura cr铆tica:
- Actualizar los dispositivos ASA y FTD a versiones corregidas: Actualice los dispositivos Cisco Secure Firewall ASA y FTD a las versiones corregidas recomendadas por Cisco. Priorice las puertas de enlace VPN y los firewalls que manejan tr谩fico de producci贸n y programe las actualizaciones lo antes posible.
- Verifique las configuraciones de VPN SSL y autenticaci贸n secundaria: Identifique d贸nde est谩 habilitada la VPN de acceso remoto SSL y qu茅 grupos de t煤neles la utilizan secondary-authentication-server-group. Verifique DefaultWEBVPNGrouptambi茅n, incluso si las listas de grupos de t煤neles est谩n deshabilitadas. Elimine la autenticaci贸n secundaria donde no sea necesaria.
- Aplique medidas provisionales si no es posible aplicar parches de inmediato: Si DefaultWEBVPNGroupno utiliza autenticaci贸n secundaria, desactive la lista de grupos de t煤neles. De lo contrario, elimine la autenticaci贸n secundaria de los grupos que no la requieran. Siempre que sea posible, restrinja el acceso al inicio de sesi贸n de la VPN SSL a las redes de origen previstas. Considere estas medidas como temporales hasta que se pueda actualizar el software.
- Refuerce la protecci贸n de VPN y SD-WAN: Limite la exposici贸n de las interfaces de administraci贸n y VPN a lo estrictamente necesario. Restrinja el acceso administrativo, utilice pol铆ticas s贸lidas de autenticaci贸n multifactor (MFA) y acceso condicional, y aplique el parche CVE-2026-20127 en los controladores Cisco SD-WAN Catalyst cuando corresponda.
- Supervise los fallos y la actividad an贸mala de la VPN: Reciba alertas sobre reinicios inesperados del dispositivo, intentos repetidos de inicio de sesi贸n en la VPN desde direcciones IP inusuales y ca铆das repentinas de la conectividad. Correlacione los eventos de reinicio con picos en el tr谩fico SSL de la VPN para identificar posibles intentos de explotaci贸n.
- Revise el dise帽o de alta disponibilidad y conmutaci贸n por error: confirme que los pares de alta disponibilidad est茅n configurados correctamente y pruebe el comportamiento de la conmutaci贸n por error bajo carga. Aplique parches a ambos dispositivos de alta disponibilidad, ya que un c贸digo vulnerable en ambos podr铆a permitir a un atacante interrumpir el funcionamiento de las unidades activa y de reserva.
- Refuerce la gesti贸n de vulnerabilidades y parches: priorice los avisos de seguridad que afecten a firewalls, SD-WAN, VPN e infraestructura de identidad. Incorpore los avisos de Cisco en los procesos de gesti贸n de vulnerabilidades y establezca responsabilidades claras para la revisi贸n y aplicaci贸n de actualizaciones cr铆ticas.
Deja tu comentario