Cisco opravilo 15 zranitelností napříč Crosswork, Secure Workload a BroadWorks

Společnost Cisco 19. srpna 2026 vydala bezpečnostní aktualizace pro 15 zranitelností napříč svým produktovým portfoliem. Devět z nich je podle hodnocení CVSS kritických a týká se platforem Cisco Crosswork a Cisco Secure Workload. Aktualizace zároveň řeší neautentizovanou zranitelnost typu XML External Entity (XXE) v systému BroadWorks a pět středně závažných chyb v dalších produktech.

Cisco při zveřejnění uvedlo, že nemá informace o veřejných oznámeních ani o zneužití těchto zranitelností při útocích. Pro dotčené produkty však neposkytlo žádné náhradní řešení, takže hlavní cestou k nápravě je instalace konkrétních opravených verzí.

Přehled nejdůležitějších bodů

• Opraveno bylo 15 zranitelností.
• Devět chyb je kritických: čtyři v Crosswork a pět v Secure Workload, přičemž jedna z chyb v Secure Workload má CVSS 7,5 a je klasifikována jako vysoce závažná.
• CVE-2026-20320 v BroadWorks má hodnocení CVSS 7,5 a lze ji vzdáleně zneužít bez přihlášení ke čtení citlivých dat.
• Cisco Crosswork je třeba aktualizovat na 7.2.1-SP.
• Opravené verze Secure Workload jsou 3.10.9.1 pro řadu 3.10 a 4.0.4.16 pro řadu 4.0.
• Cisco pro dotčené chyby neuvedlo žádné workaroundy.

Crosswork: čtyři kritické chyby s maximálním hodnocením

Bezpečnostní aktualizace se týká produktů Crosswork Data Gateway, Crosswork Network Controller a Crosswork Planning ve verzi 7.2.1 a starších. Organizace by měly přejít na verzi 7.2.1-SP.

Opravené chyby jsou:

• CVE-2026-20030 – SQL injection, CVSS 10,0.
• CVE-2026-20357 – chybějící autentizace u kritické funkce, CVSS 10,0.
• CVE-2026-20358 – externí ovládání souborového systému, CVSS 10,0.
• CVE-2026-20359 – nedostatečně chráněné přihlašovací údaje, CVSS 9,9.

Cisco zranitelnosti odhalilo při interním testování, včetně testů využívajících takzvané frontier AI modely. Společnost uvedla, že neeviduje jejich škodlivé zneužití a že pro ně není k dispozici workaround.

Kombinace neautentizovaného přístupu ke kritickým funkcím, SQL injection, ovládání souborového systému a možného odhalení přihlašovacích údajů představuje významné riziko zejména pro organizace, které mají dotčenou infrastrukturu vystavenou síti nebo ji propojují s citlivými systémy. Samotné skóre CVSS ale popisuje potenciální dopad a nepotvrzuje, že jsou chyby aktivně zneužívány.

Secure Workload vyžaduje aktualizaci více komponent

Zranitelnosti se týkají cloudových služeb Cisco Secure Workload SaaS i lokálních instalací. Pro verzi 3.10 a starší Cisco uvádí opravu 3.10.9.1, pro řadu 4.0 pak 4.0.4.16. U lokálních nasazení je nutné aktualizovat všechny příslušné komponenty Cluster, Agent a Connector. Cisco uvádí, že cloudový Cluster SaaS již aktualizovalo.

Seznam opravovaných CVE:

• CVE-2026-20231 – injektáž příkazů, operačního systému nebo argumentů, CVSS 9,9.
• CVE-2026-20315 – nesprávné řízení přístupu, CVSS 10,0.
• CVE-2026-20317 – nesprávná autentizace, CVSS 10,0.
• CVE-2026-20318 – nedostatečné ověřování vstupu, včetně tříd path traversal a externího ovládání cest, CVSS 9,6.
• CVE-2026-20319 – přetečení bufferu nebo zápis mimo vyhrazenou paměť, CVSS 7,5.

Poslední uvedená chyba je podle skóre CVSS vysoce závažná, nikoli kritická. Zbývající čtyři zranitelnosti Secure Workload jsou kritické. Cisco je připsalo interním testovacím procesům, uvedlo, že neví o jejich zneužití, a neposkytlo workaround.

BroadWorks: neautentizovaná XXE zranitelnost umožňuje čtení souborů

CVE-2026-20320 se nachází v XML parseru Open Client Interface platformy Cisco BroadWorks. Jde o vysoce závažnou, vzdáleně zneužitelnou a neautentizovanou blind XXE zranitelnost s hodnocením CVSS 7,5. Protože je ve výchozím nastavení povoleno zpracování externích entit, může útočník odeslat službě OCI-P speciálně vytvořenou zprávu a získat citlivé konfigurační informace nebo soubory dostupné uživateli BroadWorks.

Dotčené jsou tyto komponenty:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Ohroženy jsou verze před RI.2026.07; právě RI.2026.07 je podle Cisca požadovanou opravou. Workaround není k dispozici. Cisco za objevení chyby uvedlo Sandeshe M. Gawaie a při zveřejnění neznalo žádné veřejné zneužití.

Vzhledem k tomu, že chyba nevyžaduje autentizaci a lze ji zneužít na dálku prostřednictvím služby OCI-P, měli by provozovatelé BroadWorks ověřit verzi a naplánovat nasazení opravy s vysokou prioritou. Dostupné informace přitom nepotvrzují aktivní zneužívání ve volné přírodě.

Dalších pět zranitelností má střední závažnost

Zbývající chyby se týkají produktů Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 a Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Jde o autentizovanou lokální blind SQL injection zranitelnost s hodnocením CVSS 6,5. Platný uživatel by ji mohl prostřednictvím webového administračního rozhraní využít ke čtení dat z interní databáze. Opravy jsou zahrnuty ve verzích 12.6(2) ES08 a 15.0(1) SU2. Verze starší než 12.6 je nutné migrovat na podporovanou opravenou verzi.

Cisco za objevení chyby uvedlo Heshama Ahmeda ze Spark Professional Services. Workaround není k dispozici a Cisco nezná žádné škodlivé zneužití.

RoomOS: CVE-2026-20302

Chyba v zásobníku USB ovladačů RoomOS má hodnocení CVSS 6,1. K jejímu zneužití je zapotřebí fyzický přístup k USB, úspěšný útok však může umožnit spuštění libovolného kódu s oprávněními roota.

Pro lokální provoz Cisco uvádí opravy 11.32.7.0 a 26.7.2.2. U cloud-aware provozu jsou opravenými verzemi 11.40.1.1 a 26.7.1.12. Cisco za odhalení chyby připsalo zásluhu Jean-Michelu Huguetovi z NATO Cyber Security Centre. Ani zde není k dispozici workaround a Cisco neeviduje známé zneužití.

Přepínače Industrial Ethernet 1000

Obě zranitelnosti jsou opraveny ve verzi 1.9.6. Verze starší než 1.9 je nutné migrovat na opravené vydání.

• CVE-2026-20232 je uložená XSS zranitelnost s hodnocením CVSS 5,4. Autentizovaný vzdálený uživatel může vložit skript, který se následně spustí v kontextu administračního rozhraní jiného uživatele. Cisco za odhalení poděkovalo společnosti Rockwell Automation.
• CVE-2026-20177 je zranitelnost typu DoS způsobená zahlcením management plane, s hodnocením CVSS 5,3. Neautentizovaný útočník může zahlcovat provoz ICMP, SSH nebo HTTP, a znepřístupnit tak grafické rozhraní, SSH či API. Přeposílání dat přitom podle Cisca zůstává nedotčeno. Chybu odhalilo interní testování.

Cisco u obou problémů neuvedlo workaround ani známé škodlivé zneužití.

Packaged CCE a Unified CCE: CVE-2026-20314

Autentizovaná vzdálená zranitelnost typu Server-Side Request Forgery (SSRF) má hodnocení CVSS 5,0. Speciálně vytvořené HTTP požadavky mohou přimět napadený server k odesílání libovolných síťových požadavků. Oprava je dostupná ve verzi 15.0(1)ES202607; verze starší než 15.0 je nutné migrovat.

Cisco za objevení chyby uvedlo Heshama Ahmeda ze Spark Professional Services, neposkytlo workaround a při zveřejnění neznalo žádné zneužití.

Co by měli administrátoři udělat

1. Sepsat dotčené produkty a verze. Ověřte nasazení Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 a CCE vůči rozsahům zranitelných verzí Cisca.
2. Upřednostnit systémy dostupné bez autentizace. Nejvyšší naléhavost mají kritické chyby v Crosswork a BroadWorks CVE-2026-20320, které nevyžadují stejný typ ověřeného přístupu jako řada středně závažných chyb.
3. Nainstalovat konkrétní opravené verze. Hlavními cíli jsou Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 nebo 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 nebo 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 a CCE 15.0(1)ES202607. U RoomOS použijte opravu odpovídající typu nasazení.
4. Aktualizovat všechny potřebné komponenty Secure Workload. Cisco výslovně upozorňuje na komponenty Cluster, Agent a Connector v lokálních instalacích.
5. Sledovat nové informace o zneužití. Konstatování, že při zveřejnění nebylo známo žádné zneužití, není zárukou, že zranitelnosti zůstanou nevyužity.

Praktický závěr je jednoduchý: Cisco pro dotčené chyby neuvedlo žádná náhradní řešení a nejzávažnější problémy se týkají produktů, které mohou spravovat síť, řídit pracovní zátěže nebo zajišťovat komunikační infrastrukturu. Organizace by proto měly co nejdříve ověřit své verze a naplánovat příslušné aktualizace, místo aby spoléhaly na to, že dosud nebylo hlášeno aktivní zneužití.