ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Cisco

Alerta 2026-129 Vulnerabilidad de DoS en Cisco ASA y FTD explotada activamente y nuevo actor que explota la vulnerabilidad crítica de Cisco SD-WAN

Producto(s) afectado(s): 

ProductoVulnerabilidadVersiones afectadas
Cisco Secure Firewall Adaptive Security Appliance (ASA) SoftwareCVE-2026-76418 (denegación de servicio, CVSS v3.1 8.6)Ramas 9.16 y anteriores, 9.18, 9.20, 9.22, 9.23 y 9.24, anteriores a la primera versión corregida de cada rama
Cisco Secure Firewall Threat Defense (FTD) SoftwareCVE-2026-76418 (denegación de servicio, CVSS v3.1 8.6)Ramas 7.0 y anteriores, 7.2, 7.4, 7.6, 7.7, 10.0 y 10.1, anteriores a la primera versión corregida de cada rama
Cisco Catalyst SD-WAN Controller (antes vSmart), Manager (antes vManage) y Validator (antes vBond)CVE-2026-20127 (omisión de autenticación, CVSS v3.1 10.0)Ramas anteriores a 20.9, 20.9, 20.11, 20.12, 20.13, 20.14, 20.15, 20.16 y 20.18, anteriores a la primera versión corregida de cada rama, independientemente de la configuración

Cisco Cloud-delivered Firewall (CDFW), Cloud-delivered FMC (cdFMC), Secure Access (CSA) y Secure FMC Software no están afectados por la CVE-2026-76418.

Descripción

Se han publicado dos novedades de seguridad de Cisco: un aviso sobre una vulnerabilidad de denegación de servicio en Cisco Secure Firewall ASA y FTD, cuya explotación activa el proveedor conoce, y nueva información sobre la explotación de la vulnerabilidad crítica CVE-2026-20127 de Cisco Catalyst SD-WAN, ya tratada en las Alertas 2026-20 y 2026-50.

Cisco Secure Firewall ASA y FTD (CVE-2026-76418)

El proveedor publicó el 28/10/2026 un aviso sobre la vulnerabilidad CVE-2026-76418 en Cisco Secure Firewall ASA y Secure Firewall Threat Defense (FTD), que permite a un atacante remoto sin autenticación provocar el reinicio inesperado del equipo y, con ello, una denegación de servicio (DoS). Se califica con CVSS v3.1 8.6 (alta), con vector de red, complejidad de ataque baja, sin privilegios ni interacción del usuario, alcance modificado e impacto únicamente en la disponibilidad.

La causa son errores de lógica cuando se configura autenticación secundaria en un tunnel group. La falla se explota enviando una petición manipulada al conectarse al servicio de VPN de acceso remoto SSL; no hace falta un inicio de sesión VPN exitoso para alcanzar la ruta afectada.

El proveedor indicó que en octubre de 2026 tuvo conocimiento de la explotación activa de esta vulnerabilidad. No informó la fecha de inicio, el actor responsable ni indicadores de compromiso.

Según el proveedor, un equipo es vulnerable solo si cumple todas estas condiciones: ejecuta una versión vulnerable de ASA o FTD, el servicio de inicio de sesión SSL de acceso remoto es alcanzable y hay autenticación secundaria configurada en un tunnel group. Para comprobarlo:

  • En la configuración en ejecución, verificar la palabra clave webvpn con SSL VPN habilitado en al menos una interfaz (enable interface_name).
  • Si tunnel-group-list enable está configurado, revisar todos los tunnel groups, incluido el predeterminado DefaultWEBVPNGroup, en busca de secondary-authentication-server-group. La revisión no se limita a los perfiles visibles en la página de inicio de sesión.
  • Si tunnel-group-list enable no está configurado, o se quitó con no tunnel-group-list enable, revisar igualmente DefaultWEBVPNGroup: desactivar la lista no elimina la exposición si ese grupo usa autenticación secundaria.
  • En FTD, revisar la política desplegada y la configuración resultante en FMC (Devices > VPN > Remote Access) o en FDM (Remote Access VPN).

Cisco Catalyst SD-WAN (CVE-2026-20127)

CVE-2026-20127 es una omisión de autenticación (CVSS v3.1 10.0, crítica) en Cisco Catalyst SD-WAN Controller, Manager y Validator. Un atacante remoto sin autenticar puede, mediante peticiones manipuladas, ingresar a un Controller como usuario interno de alto privilegio (no root), acceder a NETCONF y manipular la configuración del fabric SD-WAN. Afecta independientemente de la configuración, tanto en despliegues On-Prem como en Cisco Hosted SD-WAN Cloud.

La explotación de esta vulnerabilidad ya era conocida: el proveedor indicó que tiene conocimiento de explotación limitada, la falla figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) desde el 25/02/2026, con fecha límite de remediación el 27/02/2026, y se emitió para ella una directiva de emergencia (ED 26-03).

Qué hay de nuevo. El 28/10/2026 el proveedor actualizó su aviso (revisión 2.1) únicamente para agregar el enlace a un análisis técnico publicado ese mismo día. Investigadores señalan que un segundo actor, identificado como UAT-11473 y descrito como un grupo APT altamente sofisticado, explotó la CVE-2026-20127 en instancias de Cisco Catalyst SD-WAN Controller para instalar KeyDrift, un malware a medida para entornos de controladores Cisco SD-WAN, diseñado para mantener acceso persistente y exfiltrar de forma automatizada material de claves. Evalúan con confianza alta que la infraestructura de UAT-11473 se solapa considerablemente con la red de acceso encubierta «Silent Train» de Volt Typhoon; se trata de un solapamiento de infraestructura, no de una atribución directa a Volt Typhoon. Los objetivos observados corresponden a servicios espaciales y satelitales, tecnología de defensa y aeroespacial, e investigación de políticas. El análisis describe actividad histórica y no informa fechas, cantidad de víctimas ni países.

KeyDrift opera dentro de procesos del plano de control SD-WAN y puede interceptar tráfico de control descifrado, extraer metadatos de sesión y material de claves del plano de datos, y almacenarlo o transmitirlo cifrado. Se compone de:

  • PolyFlame: módulo residente en memoria, desplegado mediante rutas de servicio runit modificadas e inyectado en procesos legítimos vdaemon (también existe una variante empaquetada llamada aaamgrd). Funciona como una puerta trasera de estilo TinyShell (ejecuta /bin/sh -c, escribe y lee archivos, sin shell interactiva) y como C2 intermedio de uno a muchos. Se observó en múltiples roles de controlador y la variante aaamgrd en un vBond afectado.
  • LittleFilch (libcommon.so): intercepta SSL_read en vdaemon y extrae la IP pública, la system-IP del par y un campo binario de 32 bytes que los investigadores evalúan como material de claves IPsec AES-256 del plano de datos distribuido por OMP. Lo cifra con RSA, lo escribe en /var/tmp/vdaemon.bin y puede enviarlo por UDP con formato de registro DTLS 1.2. Se observó en un proceso vSmart afectado.

Los investigadores indican que las claves AES-256 son una evaluación sobre el contenido de ese campo, no un hecho confirmado. El CVSS, las versiones corregidas y la mitigación de la CVE-2026-20127 no cambiaron.

Indicadores de compromiso de KeyDrift

  • Servicios runit modificados: /etc/sv/sshd/ (el script run remonta /rootfs.rw como ejecutable, lanza en segundo plano conf_sshd y luego el sshd legítimo) y /etc/sv/aaamgr/ (con aaamgrd y un lanzador modificado que elimina las configuraciones PAM de sshd y login del overlay escribible).
  • Archivos y procesos: conf_sshd, rsshd (inyector por ptrace), libdssl.so (PolyFlame), libcommon.so (LittleFilch) y aaamgrd (ELF64 estático; el aaamgr legítimo es un paquete Python y no debería ser un ELF compilado bajo runit).
  • Artefactos de trabajo: /tmp/system-vdaemon (lista de PID de vdaemon), /var/tmp/vdaemon.bin y /var/tmp/vdaemon.conf (este último se elimina automáticamente).
  • Alteración de marcas de tiempo con touch --reference= y chmod --reference=.
  • Red: tráfico UDP saliente con formato DTLS 1.2 (LittleFilch). PolyFlame viaja en banda por el tráfico de control SD-WAN, sin un beacon externo fijo.
  • El análisis no publica hashes, direcciones IP ni dominios.
  • Cobertura Snort: SID 65938 y 65958 para la CVE-2026-20127; Snort 2 SID 67387 a 67416 y Snort 3 SID 7:44 a 7:73 para los artefactos de KeyDrift.

Mitigación

Cisco Secure Firewall ASA y FTD (CVE-2026-76418)

El proveedor indicó que no hay workarounds. Existe una mitigación parcial, que consiste en deshabilitar la autenticación secundaria en cualquier tunnel group definido por el usuario o en DefaultWEBVPNGroup. Son medidas temporales hasta actualizar y el proveedor advierte evaluar su impacto antes de aplicarlas.

Si DefaultWEBVPNGroup no usa autenticación secundaria, desactivar la lista de tunnel groups en modo WebVPN. Los usuarios ya no podrán elegir el perfil de una lista y deberán conocer el perfil correcto:

no tunnel-group-list enable

Si DefaultWEBVPNGroup usa autenticación secundaria, quitarla. Esto reduce la postura de seguridad de la VPN de acceso remoto:

no secondary-authentication-server-group

Cisco Catalyst SD-WAN (CVE-2026-20127)

No hay workarounds. La mitigación temporal indicada por el proveedor para despliegues On-Prem no cambió:

  • Seguir la guía de puertos de firewall y agregar ACL, reglas de firewall o security groups que limiten los puertos 22 y 830 a las IP de controladores conocidas y a los hosts necesarios.
  • Aplicar las medidas de la guía de hardening de Cisco Catalyst SD-WAN (enlazada en Información adicional).
  • En los despliegues Cisco Hosted SD-WAN Cloud (incluidos Cisco Managed y FedRAMP) esas protecciones ya están aplicadas.

Para detectar acceso indebido, el proveedor recomienda auditar /var/log/auth.log en busca de Accepted publickey for vmanage-admin desde IP desconocidas y contrastarlas con las System IP del Manager (WebUI > Devices > System IP), además de validar manualmente todos los eventos de peering de tipo vmanage. Ante cualquier indicio, abrir un caso en Cisco TAC y ejecutar request admin-tech antes. El riesgo es mayor si los Controllers están expuestos a Internet.

Respecto de KeyDrift, los investigadores recomiendan aplicar los parches, seguir la guía de hardening de Cisco, monitorear los indicadores de actividad posterior al compromiso y, si hay señales, activar de inmediato la respuesta a incidentes y abrir un caso en Cisco TAC.

Solución

Cisco Secure Firewall ASA y FTD (CVE-2026-76418)

La solución consiste en actualizar a la primera versión corregida de la rama en uso:

ProductoRamaPrimera versión corregida
ASA9.16 y anteriores9.16.4.104
ASA9.189.18.4.96
ASA9.209.20.4.50
ASA9.229.22.3.200
ASA9.239.23.1.48
ASA9.249.24.1.27 y 9.24.10.1
FTD7.0 y anteriores7.0.11
FTD7.27.2.13
FTD7.47.4.9
FTD7.67.6.7
FTD7.77.7.14
FTD10.010.0.3
FTD10.110.1.1

El aviso lista ambas versiones corregidas bajo la rama 9.24 sin precisar a qué subrama corresponde cada una. Las ramas ASA 9.17, 9.19 y 9.21 y FTD 7.1, 7.3 y 7.5 no aparecen en la tabla del aviso, que no indica qué hacer con ellas; el archivo CSAF del aviso sí incluye como afectadas a ASA 9.19 y FTD 7.3. Para esas ramas se debe consultar el Cisco Software Checker o a Cisco.

Cisco Catalyst SD-WAN (CVE-2026-20127)

La solución consiste en actualizar a la primera versión corregida de la rama en uso. Las ramas marcadas con (1) llegaron al fin del mantenimiento de software y el proveedor recomienda pasar a una versión soportada:

Rama de Catalyst SD-WANPrimera versión corregida
Anteriores a 20.9 (1)Migrar a una versión corregida
20.920.9.8.2
20.11 (1)20.12.6.1
20.1220.12.5.3 o 20.12.6.1
20.13 (1)20.15.4.2
20.14 (1)20.15.4.2
20.1520.15.4.2
20.16 (1)20.18.2.1
20.1820.18.2.1

Información adicional: