Cisco publica parche de emergencia para CVE-2026-76418

Cisco corrigió CVE-2026-76418, una vulnerabilidad en el servicio Remote Access SSL VPN de Secure Firewall ASA y FTD que puede ser explotada por un atacante remoto no autenticado para provocar una recarga inesperada del dispositivo y una condición de denegación de servicio. La falla tiene una puntuación CVSS de 8.6 y fue reportada como explotada activamente por distintas entidades de respuesta y monitoreo.

¿Qué permite hacer CVE-2026-76418?

La vulnerabilidad habilita un ataque de denegación de servicio contra dispositivos Cisco Secure Firewall ASA y FTD. Según el registro CVE, el atacante puede enviar una solicitud manipulada que desencadena la recarga inesperada del equipo. El efecto práctico es dejar indisponible el servicio SSL VPN remoto.

SecurityWeek indicó que la explotación requiere tres condiciones concretas: que el firewall ejecute una versión vulnerable, que el servicio de inicio de sesión SSL VPN sea accesible y que exista autenticación secundaria configurada en un grupo de túnel afectado. BleepingComputer añadió que Cisco detectó evidencia de explotación durante octubre de 2026.

¿Qué versiones corrigió Cisco?

Cisco publicó versiones corregidas para varias ramas de ASA y FTD. En ASA, las versiones corregidas son 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 y 9.24.10.1. En FTD, las correcciones corresponden a 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1, de acuerdo con CSO Online.

El Canadian Centre for Cyber Security señaló en su alerta AV26-1102 que la exposición afectaba versiones anteriores a esas ramas corregidas. El Center for Internet Security, por su parte, informó que Cisco publicó actualizaciones y una mitigación temporal, aunque no existe una solución alternativa completa.

¿Qué mitigación temporal recomendó Cisco?

Cisco no ofrecía una solución alternativa completa, según BleepingComputer, pero recomendó desactivar la autenticación secundaria en DefaultWEBVPNGroup o en los grupos de túnel afectados para administradores que no pudieran actualizar de inmediato. Esa medida apunta al componente que, de acuerdo con las fuentes consultadas, está asociado a la explotación.

Un análisis técnico del Cyber Threat Observatory atribuyó la causa raíz a un error lógico en el manejo de solicitudes de autenticación secundaria, vinculado a una desreferencia de puntero nulo por valor de retorno no comprobado, aunque ese punto figura como un análisis técnico atribuido a esa fuente y no como una confirmación oficial de Cisco. El mismo informe indicó que SSL Remote Access VPN debía estar habilitado mediante webvpn enable en una interfaz.

¿Qué dicen los avisos oficiales y regionales?

El Center for Internet Security informó que CVE-2026-76418 fue divulgada públicamente y está siendo explotada activamente. El Canadian Centre for Cyber Security la incluyó en su alerta AV26-1102 y señaló que Cisco indicó explotación activa. HKCERT también publicó un boletín independiente en el que clasificó la falla como una vulnerabilidad de denegación de servicio y reprodujo la condición de explotación con una solicitud manipulada contra el servicio SSL remote access VPN.

Cybersecurity News señaló que el aviso de Cisco no identificaba atacantes ni víctimas concretas y no reportaba robo de datos ni ejecución remota de código confirmados. Esa observación describe el contenido del aviso, pero no constituye evidencia independiente de ausencia de esos impactos.