Cisco ha publicado actualizaciones de seguridad para CVE-2026-76418, una vulnerabilidad de alta gravedad (CVSS 8.6) en el software Secure Firewall ASA y FTD que, según la propia compañía, ya está siendo explotada por atacantes. La vulnerabilidad permite que un atacante remoto no autenticado provoque un reinicio del firewall mediante una petición especialmente diseñada al servicio SSL VPN de acceso remoto, lo que deriva en una condición de denegación de servicio. Al mismo tiempo, Cisco Talos ha revelado la actividad del grupo APT UAT-11473, que explota la vulnerabilidad crítica CVE-2026-20127 (CVSS 10.0) en Cisco SD-WAN para instalar el framework malicioso especializado KeyDrift. Los administradores de Cisco ASA/FTD con SSL VPN habilitado y autenticación secundaria configurada deben instalar las actualizaciones de inmediato o aplicar medidas de mitigación temporales.
CVE-2026-76418: esencia técnica y condiciones de explotación
Según el aviso de seguridad de Cisco, publicado el 28 de octubre de 2026, la vulnerabilidad está causada por errores lógicos en el procesamiento de solicitudes cuando la autenticación secundaria (secondary authentication) está configurada en la configuración del grupo de túneles. El atacante envía una solicitud especialmente formada al conectarse a la SSL VPN de acceso remoto, lo que provoca un reinicio inesperado del dispositivo. Es crucial: no se requiere una autenticación VPN satisfactoria para explotar la vulnerabilidad, basta con que el servicio SSL VPN sea accesible desde el exterior.
El dispositivo es vulnerable cuando se cumplen simultáneamente tres condiciones:
- Está instalada una versión vulnerable de Cisco Secure Firewall ASA o FTD
- El servicio SSL VPN de acceso remoto es accesible desde la red
- La autenticación secundaria está configurada en el ámbito del grupo de túneles
Cisco subraya especialmente un matiz poco evidente: incluso si el parámetro tunnel-group-list enable está desactivado mediante el comando no tunnel-group-list enable, el dispositivo sigue siendo vulnerable si el grupo por defecto DefaultWEBVPNGroup utiliza autenticación secundaria. Los administradores deben comprobar el parámetro secondary-authentication-server-group en todos los grupos de túneles, incluido DefaultWEBVPNGroup.
Cisco informa de que el PSIRT tuvo conocimiento de la explotación activa de CVE-2026-76418 en octubre de 2026; sin embargo, no se han revelado detalles sobre los atacantes, el alcance de la campaña ni las víctimas concretas. En el momento de la publicación no se ha encontrado ninguna confirmación independiente de esta explotación.
Versiones corregidas y medidas temporales
Las actualizaciones están disponibles para las siguientes ramas:
Cisco Secure Firewall ASA:
- 9.16 y anteriores: corregido en 9.16.4.104
- 9.18: corregido en 9.18.4.96
- 9.20: corregido en 9.20.4.50
- 9.22: corregido en 9.22.3.200
- 9.23: corregido en 9.23.1.48
- 9.24: corregido en 9.24.1.27 y 9.24.10.1
Cisco Secure FTD:
- 7.0 y anteriores: corregido en 7.0.11
- 7.2: corregido en 7.2.13
- 7.4: corregido en 7.4.9
- 7.6: corregido en 7.6.7
- 7.7: corregido en 7.7.14
- 10.0: corregido en 10.0.3
- 10.1: corregido en 10.1.1
Cisco indica que no existe una solución completa de tipo workaround para CVE-2026-76418. Como medida temporal hasta poder actualizar, se recomienda desactivar la lista de grupos de túneles si DefaultWEBVPNGroup no utiliza autenticación secundaria, o bien desactivar la autenticación secundaria en los grupos de túneles afectados. La compañía advierte de que estas medidas reducen el nivel de seguridad de la VPN de acceso remoto y deben considerarse únicamente temporales.
UAT-11473 y el framework KeyDrift: campaña APT contra SD-WAN
En paralelo a la publicación del parche para CVE-2026-76418, Cisco ha revelado información sobre la actividad de un grupo APT rastreado como UAT-11473. Según el investigación de Cisco Talos, el grupo explotó CVE-2026-20127, una vulnerabilidad crítica de bypass de autenticación (CVSS 10.0, CWE-287) en Cisco Catalyst SD-WAN Controller, Manager y Validator. Esta vulnerabilidad, registrada en la NVD e incluida en el catálogo CISA KEV ya el 25 de febrero de 2026, afecta a todos los tipos de despliegue —tanto locales como en la nube alojados por Cisco—, independientemente de la configuración del dispositivo. Ya hemos escrito sobre las vulnerabilidades en Cisco SD-WAN, y la revelación actual confirma el interés sostenido de grupos avanzados por esta infraestructura.
Tras explotar con éxito CVE-2026-20127, los atacantes instalaban el framework malicioso especializado KeyDrift, compuesto por varios componentes, entre ellos PolyFlame y LittleFilch. Según Talos, el framework opera directamente dentro de los procesos del plano de control de SD-WAN y es capaz de:
- Interceptar tráfico de control descifrado
- Extraer metadatos de sesiones de control y material clave del plano de datos
- Preparar y transferir los datos recopilados mediante registros cifrados
Talos señala que en las muestras analizadas de PolyFlame no se han encontrado direcciones IP codificadas de forma rígida, dominios de callback, URL ni puertos de escucha. Esto dificulta significativamente la detección basada en indicadores de compromiso de red y convierte la telemetría de procesos y del plano de control en una superficie clave para el análisis y la detección.
Talos ha relacionado la actividad de KeyDrift con técnicas de MITRE ATT&CK: T1055.008 (inyección en procesos), T1574.006 (secuestro del orden de carga), T1040 (intercepción de tráfico de red), T1573.001 (canal cifrado), T1027.002 (ofuscación), T1497.001 (detección de sandbox), entre otras.
Atribución y sectores objetivo
Según Talos, UAT-11473 se dirige a organizaciones de los sectores de servicios espaciales y satelitales, tecnologías de defensa y aeroespaciales, así como a entidades dedicadas a la investigación en el ámbito de políticas públicas. Talos evalúa con alta confianza que la infraestructura de UAT-11473 se solapa de forma significativa con la red de acceso encubierto Silent Train, asociada al grupo Volt Typhoon. Es importante subrayar que se trata de una evaluación sobre el solapamiento de la infraestructura, y no de una prueba de que ambos grupos sean idénticos. En los materiales disponibles no se ha encontrado ninguna confirmación independiente de esta atribución.
Evaluación del impacto
La combinación de los dos problemas revelados dibuja un panorama de amenazas serio para las organizaciones que utilizan infraestructura de red de Cisco. CVE-2026-76418 representa una amenaza inmediata para la disponibilidad de cualquier organización con SSL VPN basada en ASA/FTD y autenticación secundaria, una configuración típica en empresas con mayores exigencias de seguridad para el acceso remoto. El hecho de que no se requiera autenticación para explotar la vulnerabilidad hace que el ataque sea trivialmente accesible.
CVE-2026-20127 conlleva una amenaza estratégica: un bypass completo de autenticación en los controladores SD-WAN abre el camino a la posible compromisión de toda la red definida por software, mientras que el framework KeyDrift proporciona una presencia encubierta de largo plazo con exfiltración automatizada de material criptográfico.
Recomendaciones
Para CVE-2026-76418: actualice inmediatamente ASA y FTD a las versiones corregidas. Si la actualización no es posible en cuestión de horas, desactive la autenticación secundaria en los grupos de túneles afectados como medida temporal, siendo consciente de la reducción del nivel de seguridad de la VPN. Compruebe la configuración de DefaultWEBVPNGroup en busca del parámetro secondary-authentication-server-group.
Para CVE-2026-20127: actualice Cisco Catalyst SD-WAN a las versiones corregidas (20.9.8.2, 20.12.5.3/20.12.6.1, 20.15.4.2 o 20.18.2.1, según la rama). Dado el carácter de KeyDrift —funcionamiento dentro de los procesos del plano de control sin indicadores de red—, priorice el monitoreo de anomalías en los procesos SD-WAN y en el plano de control. Las organizaciones de los sectores objetivo (espacio, defensa, tecnologías aeroespaciales) deberían realizar un análisis retrospectivo de la actividad en los controladores SD-WAN.
Ambas vulnerabilidades se explotan activamente y la actualización no admite demoras. Para CVE-2026-76418, la prioridad es proteger la disponibilidad de la infraestructura VPN en las próximas horas; para CVE-2026-20127, comprobar la integridad de los controladores SD-WAN y buscar rastros de KeyDrift, especialmente si la actualización se pospuso desde la revelación inicial en febrero de 2026.
