Qué pasó

El 28 de octubre de 2026 Cisco publicó el aviso cisco-sa-asaftd-tunnel-dos-s6mgkb75 sobre la vulnerabilidad CVE-2026-76418 en el acceso remoto SSL VPN de sus firewalls Cisco Secure Firewall ASA y Secure FTD. Un atacante sin credenciales puede enviar una solicitud manipulada al intentar conectarse a la VPN y provocar que el equipo se reinicie, dejando la VPN (y a veces toda la salida a internet de la oficina) sin servicio. Cisco calificó el problema como alto (CVSS 3.1 de 8.6) y su equipo PSIRT informó que tomó conocimiento de explotación activa durante octubre de 2026. BleepingComputer, por su parte, cita datos de Shadowserver que registran más de 51.000 firewalls ASA con SSL VPN expuestos a internet.

Conviene ser precisos: según el aviso, el impacto es de disponibilidad (denegación de servicio). No describe ejecución de código ni robo de datos, y Cisco no publicó indicadores de compromiso.

A quién afecta y por qué importa en una pyme argentina

Afecta a equipos ASA y FTD que cumplan todas estas condiciones: tienen webvpn habilitado en al menos una interfaz, tienen configurado secondary-authentication-server-group en algún tunnel-group (incluido DefaultWEBVPNGroup, aunque el perfil no aparezca en la pantalla de login) y el servicio de login de la VPN es alcanzable. Cisco confirma que Cloud-delivered Firewall, cdFMC, Secure Access y Secure FMC no están afectados.

Para una pyme, la VPN de acceso remoto suele ser el único camino para el trabajo en casa, las sucursales o el acceso al ERP y a los servidores de archivos. Si el firewall se reinicia en forma repetida, el negocio queda sin acceso remoto justo cuando más se lo necesita. Y como el ataque no exige usuario ni contraseña, tener la VPN publicada en internet ya es suficiente exposición.

Qué conviene hacer ya

  1. Identificar si tenés estos equipos. Revisá el inventario de firewalls Cisco ASA o Firepower/Secure Firewall (FTD), incluso los que instaló un proveedor anterior y nadie mira.
  2. Verificar si estás expuesto. En el ASA, revisá en la configuración en ejecución que exista webvpn con SSL VPN en una interfaz y que algún tunnel-group tenga secondary-authentication-server-group. Para saber si tu versión está afectada, usá el Cisco Software Checker que enlaza el aviso.
  3. Actualizar a una versión corregida. Según el aviso, las primeras versiones corregidas incluyen, por ejemplo, ASA 9.18.4.96, 9.20.4.50 y 9.22.3.200, y FTD 7.2.13, 7.4.9 y 7.6.7 (la tabla completa, incluidas las demás ramas, está en el aviso). Cisco recomienda actualizar por sobre cualquier otra medida.
  4. Si no podés actualizar hoy, aplicar la mitigación documentada. Si DefaultWEBVPNGroup no usa autenticación secundaria, Cisco indica ejecutar no tunnel-group-list enable; en ese caso los usuarios deberán conocer el nombre exacto del perfil de conexión. Si sí la usa, la alternativa es no secondary-authentication-server-group, pero eso reduce la seguridad de la VPN y es un recurso de último momento. Cisco aclara que no hay un workaround completo.
  5. Planificar la ventana de cambio. Actualizar un firewall implica un corte; coordinalo fuera del horario de operación, con una copia de la configuración y un plan de vuelta atrás.
  6. Monitorear. Prestá atención a reinicios inesperados del firewall y a picos de intentos de conexión a la VPN en los logs.

Cómo lo abordamos en EDESSI

Cuando aparece una vulnerabilidad crítica o con explotación activa, nuestro procedimiento general es siempre el mismo: primero relevar qué sistemas y qué versiones tiene cada cliente para saber si realmente está afectado; después priorizar según exposición a internet y criticidad del servicio; parchear en una ventana controlada, con respaldo de configuración y plan de reversa; y, por último, verificar que el cambio quedó aplicado y documentarlo. Ante un caso como este, el primer paso concreto es revisar si el equipo tiene la VPN SSL publicada y con autenticación secundaria, porque eso define la urgencia real.

Cómo podemos ayudarte

Si no sabés qué firewall tenés, si tu VPN está publicada o si tus equipos están actualizados, podemos hacer una revisión de tu perímetro y ordenar un plan de parcheo. Conocé nuestro servicio de infraestructura IT y de ciberseguridad, o escribinos.

Fuentes