Cisco ha publicado actualizaciones de seguridad para parchear un zero-day de denegación de servicio en el software Adaptive Security Appliance (ASA) y Threat Defense (FTD) que los atacantes están explotando para provocar caídas remotas en dispositivos firewall vulnerables.

Identificada como CVE-2026-76418, esta vulnerabilidad de severidad alta afecta a dispositivos que ejecutan el software ASA y FTD con configuraciones que contienen la palabra clave 'webvpn' y SSL VPN habilitado en al menos una interfaz.

Una explotación exitosa permite a atacantes remotos no autenticados provocar una condición de denegación de servicio (DoS), haciendo que el dispositivo se reinicie inesperadamente.

Cisco aconsejó a los clientes parchear los firewalls vulnerables después de que su Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) descubriera pruebas de que el fallo estaba siendo explotado activamente a principios de este mes. Sin embargo, la empresa no proporcionó indicadores de compromiso ni ha compartido información adicional sobre los ataques, incluyendo qué organizaciones están siendo objetivo o quién está explotando el fallo.

"Esta vulnerabilidad se debe a errores de lógica cuando se configura la autenticación secundaria en un grupo de túneles. Un atacante podría explotar esta vulnerabilidad enviando una solicitud manipulada al conectarse a la VPN de acceso remoto SSL. Un exploit exitoso podría permitir al atacante provocar el reinicio del dispositivo afectado, resultando en una condición de DoS", afirmó Cisco .

"En octubre de 2026, el PSIRT de Cisco tuvo conocimiento de la explotación activa de esta vulnerabilidad. Cisco recomienda encarecidamente que los clientes actualicen a una versión de software corregida para remediar esta vulnerabilidad".

Aunque Cisco no proporcionó soluciones alternativas que aborden este problema de seguridad, los administradores que no puedan parchear inmediatamente CVE-2026-76418 pueden mitigarlo deshabilitando la autenticación secundaria en el grupo de túneles predeterminado DefaultWEBVPNGroup o en cualquier lista de grupos de túneles configurada por el usuario.

Actualmente, la plataforma de monitoreo de Internet Shadowserver rastrea más de 51,000 dispositivos Cisco ASA SSL VPN expuestos en línea, pero no proporciona información sobre cuántos ya han sido asegurados o son honeypots.

Dispositivos Cisco ASA SSL VPN expuestos a Internet (Shadowserver)

El año pasado, Cisco parcheó otros dos fallos (CVE-2025-20362 y CVE-2025-20333) que afectaban a los dispositivos firewall ASA y FTD en septiembre y advirtió a los clientes que los atacantes los habían explotado en ataques de día cero dirigidos a dispositivos de la serie 5500-X con servicios web VPN habilitados.

El mismo día, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) emitió la Directiva de Emergencia 25-03, ordenando a las agencias federales asegurar sus dispositivos firewall de Cisco en un plazo de 24 horas.

Cisco vinculó los ataques a la campaña ArcaneDoor, que también había estado explotando otros dos zero-days (CVE-2024-20353 y CVE-2024-20359) para vulnerar redes gubernamentales desde noviembre de 2023.

Más recientemente, en agosto, Cisco abordó otra vulnerabilidad zero-day de denegación de servicio (CVE-2026-20349) que los atacantes estaban explotando activamente para colapsar dispositivos firewall ASA y FTD afectados con sockets de escucha SSL habilitados.

A principios de este mes, también advirtió a los clientes que parchearan un zero-day explotado activamente (CVE-2026-76519) en su solución de seguridad Secure Email Gateway (SEG) que permite a atacantes no autenticados ejecutar comandos remotamente con privilegios de root.

Desde noviembre de 2021, la CISA ha señalado 101 fallos de seguridad de Cisco como explotados en entornos reales, siete de los cuales también fueron abusados por bandas de ransomware.

Fuente:
BleepingComputer