La amenaza presente...

La principal amenaza es la vulnerabilidad CVE-2026-76418, un fallo en la función VPN SSL de acceso remoto de Cisco Secure Firewall ASA y FTD. Cuando se habilita la autenticación secundaria, como RADIUS, LDAP o Duo, en un grupo de túneles VPN, un atacante remoto puede enviar una solicitud de conexión especialmente diseñada a la página de inicio de sesión VPN pública sin un nombre de usuario o contraseña válidos.

El procesamiento de la solicitud provoca que el Firewall se recargue, interrumpiendo el acceso VPN y otro tráfico que depende del dispositivo. Los atacantes pueden repetir el proceso para crear una condición de denegación de servicio (DoS) continua.

Los dispositivos son vulnerables si ejecutan una versión afectada de ASA o FTD, exponen el servicio VPN de acceso remoto SSL y tienen configurada la autenticación secundaria en cualquier grupo de túneles, incluido el predeterminado DefaultWEBVPNGroup. No se requiere un inicio de sesión VPN exitoso. Cisco ha confirmado la explotación activa, lo que significa que los firewalls con acceso a internet ya están siendo atacados.

¿Por qué es digno de mención?

Esta vulnerabilidad afecta directamente a los firewalls perimetrales y a las pasarelas VPN, elementos cruciales para el acceso remoto y la disponibilidad de la red. Dado que la explotación no requiere autenticación, cualquiera que logre acceder a una página de inicio de sesión VPN SSL vulnerable podría provocar fallos repetidos en el dispositivo.

Dado que ya se han detectado casos de explotación en entornos reales, esto representa una amenaza real para las organizaciones que no han implementado parches de seguridad. Además, junto con otras actividades de elusión de la autenticación SD-WAN, pone de manifiesto el creciente interés de los atacantes en la infraestructura de seguridad y redes de Cisco.

¿Cuál es la exposición o el riesgo?

Las organizaciones quedan expuestas si utilizan versiones vulnerables de ASA o FTD, permiten el acceso remoto a servicios VPN mediante SSL desde redes no confiables y emplean autenticación secundaria en un grupo de túneles. Un atacante podría forzar de forma remota la recarga del firewall, interrumpiendo el acceso VPN y, potencialmente, otro tráfico gestionado por el dispositivo.

Para las organizaciones que dependen de un único firewall o de configuraciones de alta disponibilidad (HA) deficientes, la explotación de vulnerabilidades podría provocar una pérdida generalizada de conectividad para trabajadores remotos, sucursales y aplicaciones con acceso a internet. Incluso con alta disponibilidad implementada, las fallas repetidas podrían desencadenar conmutaciones por error, inestabilidad y un rendimiento degradado.

Los atacantes también podrían usar el ataque de denegación de servicio (DoS) como parte de una campaña más amplia para distraer a los defensores o interrumpir la monitorización mientras atacan otros sistemas. Las organizaciones con numerosos dispositivos expuestos, incluidos los proveedores de servicios gestionados (MSP) y los entornos multiusuario que dan soporte a múltiples clientes, pueden enfrentarse a un mayor riesgo operativo.

En combinación con la explotación de la vulnerabilidad de omisión de autenticación de Cisco SD-WAN, esta actividad pone de relieve el riesgo más amplio de que la infraestructura de enrutamiento, VPN y plano de control se convierta en objetivo de actores maliciosos sofisticados.

¿Cuáles son las recomendaciones?

Las recomendaciones siguientes buscan reducir el riesgo de explotación y proteger la infraestructura crítica:

• Actualizar los dispositivos ASA y FTD a versiones corregidas: Actualice los dispositivos Cisco Secure Firewall ASA y FTD a las versiones corregidas recomendadas por Cisco. Priorice las puertas de enlace VPN y los firewalls que manejan tráfico de producción y programe las actualizaciones lo antes posible.
• Verifique las configuraciones de VPN SSL y autenticación secundaria: Identifique dónde está habilitada la VPN de acceso remoto SSL y qué grupos de túneles la utilizan secondary-authentication-server-group. Verifique DefaultWEBVPNGrouptambién, incluso si las listas de grupos de túneles están deshabilitadas. Elimine la autenticación secundaria donde no sea necesaria.
• Aplique medidas provisionales si no es posible aplicar parches de inmediato: Si DefaultWEBVPNGroupno utiliza autenticación secundaria, desactive la lista de grupos de túneles. De lo contrario, elimine la autenticación secundaria de los grupos que no la requieran. Siempre que sea posible, restrinja el acceso al inicio de sesión de la VPN SSL a las redes de origen previstas. Considere estas medidas como temporales hasta que se pueda actualizar el software.
• Refuerce la protección de VPN y SD-WAN: Limite la exposición de las interfaces de administración y VPN a lo estrictamente necesario. Restrinja el acceso administrativo, utilice políticas sólidas de autenticación multifactor (MFA) y acceso condicional, y aplique el parche CVE-2026-20127 en los controladores Cisco SD-WAN Catalyst cuando corresponda.
• Supervise los fallos y la actividad anómala de la VPN: Reciba alertas sobre reinicios inesperados del dispositivo, intentos repetidos de inicio de sesión en la VPN desde direcciones IP inusuales y caídas repentinas de la conectividad. Correlacione los eventos de reinicio con picos en el tráfico SSL de la VPN para identificar posibles intentos de explotación.
• Revise el diseño de alta disponibilidad y conmutación por error: confirme que los pares de alta disponibilidad estén configurados correctamente y pruebe el comportamiento de la conmutación por error bajo carga. Aplique parches a ambos dispositivos de alta disponibilidad, ya que un código vulnerable en ambos podría permitir a un atacante interrumpir el funcionamiento de las unidades activa y de reserva.
• Refuerce la gestión de vulnerabilidades y parches: priorice los avisos de seguridad que afecten a firewalls, SD-WAN, VPN e infraestructura de identidad. Incorpore los avisos de Cisco en los procesos de gestión de vulnerabilidades y establezca responsabilidades claras para la revisión y aplicación de actualizaciones críticas.