Resumen de la alerta
INCIBE-CERT ha publicado el aviso INCIBE-2026-806 sobre cinco vulnerabilidades que afectan a diversos productos de Cisco. El conjunto incluye una vulnerabilidad crítica y cuatro de severidad alta, con posibles impactos que abarcan ejecución remota de código, divulgación de información, elusión de controles de seguridad y denegación de servicio.
La prioridad principal recae en los entornos que utilicen Cisco Secure Firewall ASA o Cisco Secure Firewall Threat Defense (FTD) con acceso SSL VPN expuesto y autenticación secundaria configurada en los grupos de túneles afectados. También deben revisarse los productos Cisco afectados por vulnerabilidades de Node.js.
El listado de CVE del aviso indica “Explotación: No” para las cinco vulnerabilidades identificadas. Por tanto, esta información debe tratarse como un riesgo que requiere corrección prioritaria, sin afirmar la existencia de ataques activos basados en estos CVE.
Recursos afectados
Los productos y escenarios identificados en el aviso son los siguientes:
- Cisco Secure Firewall ASA y Cisco Secure Firewall FTD con inicio de sesión SSL VPN accesible y autenticación secundaria configurada en los grupos de túneles afectados.
- Cisco Smart Software Manager On-Prem, también denominado License (Smart Software Manager) On-Prem.
- Cisco CLI Analyzer.
- Cisco Webex Connect.
- Cisco Secure Endpoint – Private Cloud Appliance.
En el caso de CLI Analyzer, Webex Connect y Secure Endpoint – Private Cloud Appliance, Cisco mantiene la investigación en curso.
Asimismo, Cisco analiza otros productos, entre ellos Catalyst SD-WAN Manager, ISE, IOS, IOS XE, IOS XR, NX-OS, ASA, FMC y FTD. Esta situación no confirma que dichos productos adicionales estén afectados.
Descripción de las vulnerabilidades
La vulnerabilidad más grave identificada es CVE-2026-111497, clasificada como crítica y con una puntuación CVSS v4.0 de 9,2. Se trata de una escritura fuera de límites en el decodificador Brotli de Node.js. Este tipo de fallo puede producirse cuando el software procesa datos comprimidos manipulados y escribe información fuera del área de memoria prevista.
Según el aviso, una explotación de CVE-2026-111497 podría provocar corrupción de memoria, divulgación de información, denegación de servicio o ejecución remota de código. La ejecución remota de código implica que un atacante podría llegar a ejecutar instrucciones en el sistema vulnerable, dentro de las condiciones técnicas necesarias para explotar el fallo.
La vulnerabilidad CVE-2026-76418 afecta a Cisco Secure Firewall ASA y FTD. Está clasificada como alta, con una puntuación CVSS v3.1 de 8,6. Un atacante remoto no autenticado podría enviar solicitudes SSL VPN manipuladas para causar reinicios del sistema cuando se utiliza autenticación secundaria.
Además, el aviso identifica como vulnerabilidades de severidad alta los siguientes CVE:
- CVE-2026-105482.
- CVE-2026-105483.
- CVE-2026-106069.
La información disponible no detalla el comportamiento técnico individual de estos tres últimos identificadores, más allá de su relación con las vulnerabilidades de Node.js que afectan a productos Cisco.
Impacto y nivel de riesgo
El impacto potencial varía según el producto afectado y la vulnerabilidad aplicable. En el caso de los componentes afectados por Node.js, la vulnerabilidad crítica CVE-2026-111497 podría derivar en ejecución remota de código, exposición de información, corrupción de memoria o interrupción del servicio.
Para Cisco Secure Firewall ASA y FTD, CVE-2026-76418 puede permitir a un atacante remoto sin autenticación provocar reinicios mediante solicitudes SSL VPN especialmente manipuladas. El resultado esperado sería una denegación de servicio, con posible afectación a la disponibilidad del acceso remoto a través de VPN.
La exposición de la vulnerabilidad de SSL VPN depende de una condición concreta: el inicio de sesión SSL VPN debe ser accesible y la autenticación secundaria debe estar configurada en los grupos de túneles afectados. Esta circunstancia debe revisarse antes de establecer la prioridad operativa de cada dispositivo.
Aunque el aviso contempla consecuencias relevantes, el inventario de CVE publicado por INCIBE-CERT registra “Explotación: No” para los identificadores incluidos. Las organizaciones deben diferenciar entre el impacto potencial de una explotación y la ausencia de explotación indicada en dicho listado.
Solución y medidas recomendadas
La medida principal es actualizar los productos afectados a las primeras versiones corregidas indicadas por Cisco.
Para Cisco Secure Firewall ASA, las primeras versiones corregidas son:
- 9.16 y anteriores: 9.16.4.104.
- 9.18: 9.18.4.96.
- 9.20: 9.20.4.50.
- 9.22: 9.22.3.200.
- 9.23: 9.23.1.48.
- 9.24: 9.24.1.27 o 9.24.10.1.
Para Cisco Secure Firewall FTD, las primeras versiones corregidas son:
- 7.0 y anteriores: 7.0.11.
- 7.2: 7.2.13.
- 7.4: 7.4.9.
- 7.6: 7.6.7.
- 7.7: 7.7.14.
- 10.0: 10.0.3.
- 10.1: 10.1.1.
Para Smart Software Manager On-Prem, Cisco indica la actualización a la versión 10-202610.
En el resto de productos afectados por las vulnerabilidades de Node.js, deben consultarse las correcciones específicas publicadas por Cisco para cada producto.
Las mitigaciones oficiales para ASA y FTD dependen de la configuración existente. El aviso advierte de que desactivar la autenticación secundaria puede reducir la protección, por lo que esta medida no debe considerarse una solución equivalente a la actualización.
Recomendaciones para organizaciones afectadas
- Identificar las instancias de Cisco Secure Firewall ASA y FTD que tengan SSL VPN accesible y autenticación secundaria configurada en los grupos de túneles correspondientes.
- Priorizar la actualización de ASA y FTD a las versiones corregidas aplicables a cada rama de software.
- Comprobar la versión desplegada de Smart Software Manager On-Prem y actualizar a la versión 10-202610 cuando corresponda.
- Revisar la presencia de CLI Analyzer, Webex Connect y Secure Endpoint – Private
Fuente: link
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.
TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.