Attackers Exploit Second Cisco Firewall VPN Zero-Day Since August

Cisco lanzó ac­tua­li­za­cio­nes para so­lu­cio­nar una vul­ne­ra­bi­li­dad de día cero que está sien­do ex­plo­ta­da y que im­pac­ta su soft­wa­re Se­cu­re Fi­re­wall Adap­ti­ve Se­cu­rity Ap­plian­ce (ASA) y Se­cu­re Fi­re­wall Th­reat De­fen­se (FTD). Este fallo, iden­ti­fi­ca­do como CVE-2026-76418 con una pun­tua­ción de gra­ve­dad CVSS de 8.6, se lo­ca­li­za en el ser­vi­cio VPN SSL de ac­ce­so re­mo­to.

Los ata­can­tes pue­den apro­ve­char este pro­ble­ma de forma re­mo­ta y sin ne­ce­si­dad de au­ten­ti­ca­ción para pro­vo­car el re­ini­cio im­pre­vis­to del dis­po­si­ti­vo, in­te­rrum­pien­do su dis­po­ni­bi­li­dad. El error se debe a fa­llos de ló­gi­ca en los gru­pos de tú­ne­les con­fi­gu­ra­dos con au­ten­ti­ca­ción se­cun­da­ria, y los ata­ques se eje­cu­tan en­vian­do una so­li­ci­tud ma­li­cio­sa du­ran­te la co­ne­xión a la VPN SSL.

Para que una agre­sión tenga éxito, el cor­ta­fue­gos afec­ta­do debe uti­li­zar una ver­sión sin par­ches, tener ac­ce­si­ble el ser­vi­cio de ini­cio de se­sión de la VPN SSL y em­plear au­ten­ti­ca­ción se­cun­da­ria en un grupo de tú­ne­les vul­ne­ra­ble. El equi­po de se­gu­ri­dad de Cisco tuvo co­no­ci­mien­to de estas ac­cio­nes ma­li­cio­sas en el campo du­ran­te el mes de oc­tu­bre, aun­que no se han di­vul­ga­do de­ta­lles sobre las ofen­si­vas ni sobre los au­to­res de­trás de ellas.

Como no exis­ten so­lu­cio­nes tem­po­ra­les di­rec­tas, la com­pa­ñía re­co­mien­da ac­tua­li­zar los sis­te­mas, ya que las al­ter­na­ti­vas para re­du­cir la ex­po­si­ción —como des­ac­ti­var la lista de gru­pos de tú­ne­les o qui­tar la au­ten­ti­ca­ción se­cun­da­ria— pue­den dis­mi­nuir la se­gu­ri­dad. Este caso re­pre­sen­ta el se­gun­do día cero en ASA y FTD uti­li­za­do para ata­ques de de­ne­ga­ción de ser­vi­cio en los úl­ti­mos meses, su­mán­do­se a otro in­ci­den­te pre­vio ocu­rri­do en agos­to.