Sin necesidad de contraseña ni de acceso VPN: hackers hallan la forma de reiniciar cortafuegos Cisco con una sola solicitud.

Los atacantes ya están explotando una nueva vulnerabilidad en los cortafuegos de Cisco para reiniciar dispositivos de forma remota e interrumpir las conexiones de red. El ataque no requiere credenciales ni un inicio de sesión exitoso en la VPN. El fabricante publicó correcciones y confirmó casos reales de explotación.

La vulnerabilidad recibió el identificador CVE-2026-76418 y una puntuación de 8,6 en la escala CVSS. El fallo afecta al servicio de acceso remoto SSL VPN en Cisco Secure Firewall Adaptive Security Appliance (ASA) y Secure Firewall Threat Defense (FTD). Una solicitud especialmente formada puede provocar el reinicio inesperado del dispositivo y una denegación de servicio (DoS).

La vulnerabilidad está relacionada con errores lógicos en el tratamiento de las conexiones cuando para un grupo de túneles VPN se ha configurado una autenticación adicional. Basta con que el servicio de acceso SSL VPN esté accesible desde el exterior y que el dispositivo ejecute una versión de software vulnerable. El atacante no necesita pasar la verificación de credenciales.

Los administradores deben comprobar si SSL VPN está habilitado en la interfaz de red y, a continuación, revisar los grupos de túneles en busca del parámetro secondary-authentication-server-group. Cisco recomienda comprobar no solo los perfiles que se muestran a los usuarios en la página de acceso, sino también el grupo predeterminado DefaultWEBVPNGroup. La lista oculta de perfiles por sí sola no elimina la amenaza.

Como medida temporal, Cisco permite desactivar la lista de grupos de túneles si el grupo predeterminado no utiliza la autenticación adicional. Si esta está configurada en DefaultWEBVPNGroup, se puede deshabilitar la propia autenticación adicional. Esta última opción debilita la protección del acceso remoto, por lo que la compañía recomienda evaluar las consecuencias antes de cambiar la configuración.

Para ASA, las correcciones están disponibles en las versiones 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 y 9.24.1.27. Para FTD, las versiones corregidas incluyen 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 y 10.1.1. La herramienta Cisco Software Checker ayuda a elegir la actualización adecuada para la versión instalada.

En el boletín de Cisco publicado el 28 de octubre, Cisco indicó que su grupo de respuesta detectó explotación activa de la vulnerabilidad en octubre de 2026. La empresa no reveló detalles sobre los atacantes, el número de organizaciones afectadas ni la magnitud de las interrupciones. El fallo fue descubierto por Eric Fernald durante el análisis de una consulta al soporte técnico de Cisco.

La vulnerabilidad no afecta a Cloud-delivered Firewall, Cloud-delivered Firewall Management Center, Secure Access ni Secure FMC. No obstante, para los dispositivos afectados el fabricante recomienda no limitarse a medidas temporales, sino instalar el software corregido. En agosto, SecurityLab ya informó sobre otra vulnerabilidad que permitía reiniciar Cisco ASA y FTD sin autorización.