Cisco ASA y FTD: el fallo que puede tumbar tu VPN afecta a todos los modelos

Cisco ha actualizado un aviso de seguridad sobre sus firewalls Secure Firewall ASA y Firepower Threat Defense (FTD) con un cambio importante: el fallo, que en un principio se atribuía solo a las versiones virtuales (ASAv y FTDv), afecta en realidad a todas las plataformas, incluidos los equipos físicos. Un atacante sin credenciales puede dejar sin servicio la VPN de tu empresa, y no hay forma de evitarlo sin actualizar.

Si en su día leíste el aviso y lo descartaste porque tus firewalls son físicos, conviene volver a mirarlo.

Qué ha pasado

La vulnerabilidad tiene el identificador CVE-2024-20260 y Cisco le asigna una puntuación CVSS de 8,6, gravedad alta. Está en los servidores web que usan dos funciones muy habituales del firewall:

• La VPN SSL (AnyConnect / Secure Client), que usan los teletrabajadores para conectarse.
• El servidor HTTP de gestión, cuando el equipo se administra por web (ASDM, por ejemplo).

El problema es una mala gestión de la memoria con las conexiones SSL/TLS nuevas. Si alguien abre muchísimas conexiones seguidas contra el firewall, este va agotando memoria hasta que la VPN se ralentiza y deja de aceptar conexiones. Al parar el ataque, la memoria se recupera poco a poco, pero Cisco advierte de que puede hacer falta reiniciar el equipo para volver a la normalidad rápido.

Es una denegación de servicio: el atacante no roba datos ni toma el control del firewall. Pero para una empresa en la que media plantilla trabaja en remoto, quedarse sin VPN en plena jornada es un problema serio.

La cronología:

• El aviso se publicó originalmente para ASAv y FTDv.
• El 16 de septiembre de 2026, Cisco lo amplió a todas las plataformas ASA y FTD.
• El 23 de septiembre hizo una última actualización sobre qué productos no están afectados.

Por ahora, Cisco dice no tener constancia de que se esté explotando. Aun así, es de los fallos fáciles de aprovechar: basta con poder llegar al puerto de la VPN, que por definición está abierto a internet.

¿Afecta a mi empresa?

Te afecta si tienes un firewall Cisco con software ASA o FTD en una versión vulnerable y además tienes activa la VPN SSL, la gestión por HTTP, o ambas. El centro de gestión FMC no está afectado.

Para saber si tu equipo acepta conexiones SSL o TLS, Cisco indica un comando de solo lectura para la consola del ASA:

show asp table socket | include SSL|DTLS

Si no devuelve nada, el equipo no está expuesto a este fallo. Si aparecen líneas en escucha (normalmente en el puerto 443), sí lo está.

Qué hacer, paso a paso

1. Averigua qué versión tienes y cuál la corrige

Cisco no publica una lista sencilla de versiones: remite a su Software Checker, una herramienta web en la que eliges el producto (ASA o FTD), la plataforma y tu versión exacta. Te dice qué avisos te afectan y cuál es la primera versión que los corrige todos.

Aprovecha para marcar la opción de buscar todos los avisos críticos y altos, no solo este. Los firewalls que llevan tiempo sin actualizar suelen acumular varios.

2. Actualiza

No hay solución temporal (workaround): la única corrección es actualizar a una versión corregida. Planifica la actualización en una ventana de mantenimiento cercana. Si tienes los firewalls en clúster o en alta disponibilidad, actualizar un nodo cada vez evita cortes.

3. Mientras tanto, reduce la superficie expuesta

Aunque no eliminen la vulnerabilidad, hay medidas que tienen sentido en cualquier caso:

• Gestión solo desde la red interna. El acceso HTTP de administración nunca debería estar abierto a internet. Limítalo a las IP de administración o a una red de gestión.
• Limita desde dónde se puede usar la VPN, si tu negocio lo permite: por ejemplo, filtrando por país o por rangos de IP conocidos.
• Vigila el firewall. Monitoriza el uso de memoria y el número de conexiones SSL. Un aumento brusco de conexiones nuevas sin inicios de sesión asociados es mala señal.

4. Cómo detectar un ataque

Cisco indica que el comando show blocks puede revelar el problema. Si en alguna fila la columna de bloques disponibles cae a cero, puede que el equipo esté perdiendo memoria por este fallo. Otros síntomas son que el firewall deje de pasar tráfico o que su rendimiento caiga sin motivo aparente. Si lo ves, abre un caso con el soporte técnico (TAC) de Cisco.

Una lección más general

Este aviso deja algo claro: los avisos de seguridad cambian. Uno que ayer no te afectaba puede afectarte hoy, porque el fabricante amplía la lista de productos o de versiones. Por eso:

• Suscríbete a los avisos de seguridad de los fabricantes de tus equipos de red.
• No archives un aviso como “no aplica” sin guardar el motivo, y revísalo si se actualiza.
• Mantén un inventario de firewalls con su versión exacta de software.

Si quieres una forma sencilla de organizar todo esto, en nuestra guía de gestión de parches para pymes tienes una política paso a paso.

En resumen

• CVE-2024-20260 permite dejar sin servicio la VPN SSL de los firewalls Cisco ASA y FTD.
• Desde el 16 de septiembre de 2026 se sabe que afecta a todos los modelos, no solo a los virtuales.
• No hay solución temporal: comprueba tu versión en el Software Checker y actualiza.
• Cierra la gestión web a internet y vigila la memoria del firewall.