Destinatarios: administradores de Cisco Secure Firewall ASA y FTD que exponen la VPN SSL a internet. Esta página se basa en el aviso de Cisco, el NVD y la lista KEV de CISA; no contiene pasos de ataque ni código de explotación.
En desarrollo: esta página se actualizará a medida que se publique más información
A fecha del 29 de octubre de 2026 (JST)Aún no se sabe
- Quién está siendo atacado y con qué alcance (Cisco no ha publicado detalles)
- Una inclusión en KEV de CISA (no estaba en la lista publicada a las 19:00 UTC del 28 de octubre)
- La evaluación propia del NVD (estado: Received)
- Una alerta de JPCERT/CC (no se encontró ninguna)
Cisco publicó el aviso el 28 de octubre (UTC) con las versiones corregidas, como versión final 1.0, y dice que tuvo conocimiento de explotación en octubre de 2026.
Qué hacer hoy
Compruebe si expone la VPN SSL
En ASA, busque webvpn en la configuración en ejecución con enable en al menos una interfaz. En FTD, revise la política de VPN de acceso remoto desplegada en FMC o FDM y la configuración resultante. Cisco también exige como condición que el servicio de inicio de sesión sea accesible.
Encuentre los grupos de túnel con autenticación secundaria
Cisco indica buscar secondary-authentication-server-group en los grupos de túnel. Si está configurado tunnel-group-list enable, compruebe todos los grupos, incluidos los que no se muestran en la página de inicio de sesión. Si no lo está, compruebe DefaultWEBVPNGroup: quitar la lista de grupos no elimina la exposición si el grupo predeterminado usa autenticación secundaria. No hace falta un inicio de sesión VPN correcto para llegar al código afectado.
Actualice a una versión corregida
Pase al menos a la versión de la tabla siguiente. Cisco Software Checker puede confirmar si su versión está afectada. Si actualizó en agosto por CVE-2026-20349, tenga en cuenta que las versiones corregidas de este aviso son más recientes, por lo que puede que deba actualizar de nuevo.
Decida una mitigación provisional si aún no puede actualizar
Si DefaultWEBVPNGroup no usa autenticación secundaria, no tunnel-group-list enable desactiva la lista de grupos; los usuarios deberán entonces conocer el nombre de su perfil de conexión. Si la usa, no secondary-authentication-server-group la quita, pero reduce la seguridad del acceso remoto. Cisco califica ambas de temporales y pide probarlas antes.
Vigile los reinicios y prevea una caída de la VPN
Busque en su monitorización de registros o en las alertas de syslog reinicios que no pueda explicar (valoración nuestra). Decida hoy quién toma la decisión, cómo se avisa al personal remoto y qué trabajo se detiene si la VPN cae.
Versiones corregidas
| Producto | Rama | Primera versión corregida |
|---|---|---|
| ASA | 9.16 y anteriores | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27, 9.24.10.1 |
| FTD | 7.0 y anteriores | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Cisco dice que Cloud-delivered Firewall, cdFMC, Secure Access y Secure FMC Software no están afectados.
1. VPN SSL habilitada
webvpn habilitado en al menos una interfaz
2. Servicio de inicio de sesión accesible
Se puede conectar desde internet u otras redes
3. Autenticación secundaria configurada
secondary-authentication-server-group en un grupo de túnel
Qué se ha divulgado
- CVE
- CVE-2026-76418 (aviso de Cisco cisco-sa-asaftd-tunnel-dos-s6mgkb75, ID de error CSCwx26625)
- Tipo
- CWE-690. Un error de lógica cuando hay autenticación secundaria configurada en un grupo de túnel
- Gravedad
- CVSS v3.1 8.6 (Cisco). Red, sin autenticación, sin interacción del usuario. Solo impacto en la disponibilidad
- Impacto
- Un atacante remoto sin autenticar puede hacer que el dispositivo se reinicie, causando una denegación de servicio
- Divulgación
- 28 de octubre de 2026 (UTC), versión final 1.0. Hallada durante un caso de soporte de Cisco TAC
- Explotación
- Cisco PSIRT dice que tuvo conocimiento de explotación en octubre de 2026; sin detalles sobre quién ni con qué alcance
- Solución alternativa
- Ninguna. Las mitigaciones provisionales están en el paso 4 de arriba
El NVD registró el CVE el mismo día con estado Received y solo la puntuación de Cisco. Su registro incluye también una evaluación del coordinador de CISA que indica la explotación como "none" (28 de octubre, hacia las 22:45 UTC), lo que contradice la declaración de Cisco. Vuelva a comprobarlo más adelante para ver cuál refleja información más reciente.
Relación con CVE-2026-20349 de agosto
El mismo servicio de VPN SSL de ASA y FTD tuvo CVE-2026-20349 (CVSS 8.6, una solicitud HTTP manipulada reinicia el dispositivo), divulgado el 11 de agosto, con conocimiento de explotación por parte de Cisco y con CISA añadiéndolo a KEV ese mismo día. Es una falla distinta, con otra causa y otra condición (aquí, la autenticación secundaria). Dos puntos para los defensores:
- Cisco dice que ha visto explotación de dos fallas que reinician sin inicio de sesión la misma clase de dispositivo, divulgadas con unos 2,5 meses de diferencia (11 de agosto y 28 de octubre). Prevea que los dispositivos de VPN SSL se reinicien
- Las versiones corregidas son distintas, así que un dispositivo parcheado en agosto puede seguir quedándose corto. Para ASA 9.18, la corrección de agosto es 9.18.4.94 y esta es 9.18.4.96
Qué aún no se sabe
| Elemento | Estado |
|---|---|
| Explotación real | Cisco dice que tiene conocimiento; sin detalles |
| Inclusión en KEV | No estaba en la lista publicada a las 19:00 UTC del 28 de octubre |
| Evaluación del NVD | Received (solo la puntuación de Cisco) |
| Alerta de un organismo público japonés | No se encontró ninguna en nuestra comprobación |
Fuentes
Consultadas el 29 de octubre de 2026.
- Cisco, "Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability" (cisco-sa-asaftd-tunnel-dos-s6mgkb75, 28 de octubre de 2026) — cisco.com
- NVD, CVE-2026-76418 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog — cisa.gov
- Cisco, "Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability" (cisco-sa-asaftd-vpn-dos-dzv4mQFF, CVE-2026-20349, 11 de agosto de 2026, actualizado el 16 de septiembre) — cisco.com
Historial de actualizaciones
2026-10-29: Primera versión, basada en el aviso de Cisco (28 de octubre), el NVD y la lista KEV de CISA.
Lectura recomendada
- Defensa de los dispositivos de VPN: Cómo defender los dispositivos de VPN y el acceso remoto
- Explotadas el mismo mes: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Priorizar las correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es CVSS?