Lo más importante

• Se divulgaron y corrigieron 15 vulnerabilidades.
• Crosswork tiene cuatro fallas críticas: tres con CVSS 10,0 y una con 9,9.
• Secure Workload incluye cuatro vulnerabilidades críticas y una de alta gravedad, con puntuaciones de entre 7,5 y 10,0.
• CVE-2026-20320, en BroadWorks, es una vulnerabilidad XXE remota y no autenticada con CVSS 7,5.
• Crosswork debe actualizarse a 7.2.1-SP.
• Secure Workload debe actualizarse a 3.10.9.1 en la rama 3.10 o a 4.0.4.16 en la rama 4.0.
• BroadWorks requiere la versión RI.2026.07.
• Cisco no publicó workarounds para los problemas incluidos en este paquete.

Crosswork: cuatro vulnerabilidades críticas

La actualización de seguridad de Cisco Crosswork afecta a Crosswork Data Gateway, Crosswork Network Controller y Crosswork Planning en las versiones 7.2.1 y anteriores. La versión corregida es 7.2.1-SP.

Las vulnerabilidades son:

• CVE-2026-20030: inyección SQL, con CVSS 10,0.
• CVE-2026-20357: ausencia de autenticación para una función crítica, con CVSS 10,0.
• CVE-2026-20358: control externo del sistema de archivos, con CVSS 10,0.
• CVE-2026-20359: credenciales protegidas de forma insuficiente, con CVSS 9,9.

Cisco indicó que detectó estas fallas durante sus procesos internos de evaluación de seguridad, incluidos análisis con modelos de inteligencia artificial de frontera. La compañía no reportó explotación maliciosa conocida y no ofreció un workaround.

El conjunto resulta especialmente delicado en entornos donde la infraestructura de administración está expuesta a redes no confiables o conectada con sistemas sensibles. La inyección SQL, el acceso no autenticado a funciones críticas, el control del sistema de archivos y la posible exposición de credenciales pueden comprometer la confidencialidad, integridad o disponibilidad de los sistemas. No obstante, las puntuaciones CVSS reflejan el impacto potencial y no demuestran que las fallas estén siendo explotadas activamente.

Secure Workload exige actualizar varios componentes

Cisco Secure Workload, tanto en despliegues SaaS como locales, también está afectado. La compañía identifica 3.10.9.1 como versión corregida para la rama 3.10 y anteriores, y 4.0.4.16 para la rama 4.0. En instalaciones locales, deben actualizarse todos los componentes aplicables de Cluster, Agent y Connector; Cisco señala que el Cluster SaaS ya fue actualizado.

Las cinco vulnerabilidades son:

• CVE-2026-20231: inyección de comandos, del sistema operativo o de argumentos, con CVSS 9,9.
• CVE-2026-20315: control de acceso incorrecto, con CVSS 10,0.
• CVE-2026-20317: autenticación incorrecta, con CVSS 10,0.
• CVE-2026-20318: validación incorrecta de entradas, incluidas clases asociadas al recorrido de rutas y al control de rutas externas, con CVSS 9,6.
• CVE-2026-20319: desbordamiento de búfer o escritura fuera de límites, con CVSS 7,5.

Aunque el aviso agrupado de Secure Workload reúne cinco problemas de alta prioridad, CVE-2026-20319 está clasificada individualmente como de alta gravedad, no crítica, según su puntuación CVSS. Las otras cuatro tienen puntuaciones correspondientes a vulnerabilidades críticas. Cisco atribuyó los hallazgos a sus procesos internos de evaluación, no informó de explotación conocida y no publicó medidas alternativas.

BroadWorks: una vulnerabilidad XXE permite leer datos sensibles

CVE-2026-20320 afecta al analizador XML de Open Client Interface (OCI) de Cisco BroadWorks. Se trata de una vulnerabilidad remota, no autenticada y ciega de inyección de entidades externas XML (XXE), con una puntuación CVSS 7,5.

La resolución de entidades externas está habilitada de forma predeterminada. Un atacante puede enviar un mensaje XML manipulado al servicio OCI-P para obtener información sensible de configuración y leer archivos accesibles para el usuario de BroadWorks.

Los componentes afectados incluyen:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Las versiones anteriores a RI.2026.07 están afectadas; Cisco identifica RI.2026.07 como la versión que corrige el problema. No se publicó ningún workaround. Cisco atribuyó el descubrimiento a Sandesh M. Gawai y dijo no tener conocimiento de explotación pública al divulgar el aviso.

Al no requerir autenticación y poder explotarse de forma remota mediante el servicio OCI-P, esta vulnerabilidad merece una revisión prioritaria de las versiones instaladas y una planificación urgente del parche, aunque no haya pruebas de explotación activa en la información disponible.

Cinco vulnerabilidades de gravedad media

Las cinco fallas restantes afectan a Unified Intelligence Center, RoomOS, los switches Industrial Ethernet 1000 Series y Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Esta vulnerabilidad de inyección SQL ciega, local y autenticada tiene una puntuación CVSS 6,5. Un usuario válido podría utilizar la interfaz web de administración para leer información de la base de datos interna.

Las versiones corregidas son 12.6(2) ES08 y 15.0(1) SU2. Las versiones anteriores a 12.6 deben migrarse a una versión compatible que incluya la solución. Cisco atribuyó el hallazgo a Hesham Ahmed, de Spark Professional Services, y no reportó explotación conocida ni workaround.

RoomOS: CVE-2026-20302

Una falla en la pila de controladores USB de RoomOS tiene una puntuación CVSS 6,1. La explotación requiere acceso físico a un puerto USB, pero podría permitir la ejecución de código arbitrario con privilegios de root.

Para despliegues locales, Cisco indica las versiones corregidas 11.32.7.0 y 26.7.2.2. En despliegues con conexión a la nube, las versiones son 11.40.1.1 y 26.7.1.12. Cisco reconoció a Jean-Michel Huguet, del Centro de Ciberseguridad de la OTAN, por el descubrimiento. No se conocen explotaciones y no se publicó un workaround.

Switches Industrial Ethernet 1000 Series

Las dos vulnerabilidades de estos switches se corrigen en la versión 1.9.6. Las versiones anteriores a la 1.9 deben migrarse a una versión corregida.

• CVE-2026-20232: vulnerabilidad de cross-site scripting almacenado, con CVSS 5,4. Un usuario remoto autenticado podría inyectar código que se ejecutara en el contexto de otro usuario de la interfaz de administración. Cisco atribuyó el hallazgo a Rockwell Automation.
• CVE-2026-20177: denegación de servicio por saturación del plano de administración, con CVSS 5,3. Un atacante no autenticado podría inundar el sistema con tráfico ICMP, SSH o HTTP y dejar fuera de servicio la interfaz gráfica, SSH o la API, sin afectar al reenvío de datos. Cisco detectó internamente esta vulnerabilidad.

Cisco no reportó explotación conocida ni publicó workarounds para ninguna de las dos fallas.

Packaged CCE y Unified CCE: CVE-2026-20314

Esta vulnerabilidad de Server-Side Request Forgery (SSRF) remota y autenticada tiene una puntuación CVSS 5,0. Mediante solicitudes HTTP manipuladas, un atacante podría hacer que el servidor afectado iniciara conexiones arbitrarias hacia otros recursos de red.

La corrección está en 15.0(1)ES202607. Las versiones anteriores a la 15.0 deben migrarse a una versión corregida. Cisco atribuyó el descubrimiento a Hesham Ahmed, de Spark Professional Services, y no reportó explotación conocida ni workaround.

Qué deben hacer los administradores

1. Inventariar los productos y las versiones instaladas. Revisar los entornos de Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 y CCE frente a los rangos afectados de Cisco.
2. Priorizar los servicios accesibles sin autenticación. Las fallas críticas de Crosswork y CVE-2026-20320 en BroadWorks no dependen del mismo nivel de acceso autenticado que requieren varios de los problemas de gravedad media.
3. Instalar la versión específica corregida. Los objetivos principales son Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 o 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 o 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 y CCE 15.0(1)ES202607. En RoomOS debe aplicarse la versión correspondiente al modelo de despliegue.
4. Actualizar todos los componentes de Secure Workload. En instalaciones locales, Cisco menciona expresamente Cluster, Agent y Connector.
5. Mantener la vigilancia sobre nuevos avisos. Que Cisco no conozca explotación al momento de la divulgación no garantiza que las vulnerabilidades permanezcan sin explotar.

La conclusión práctica es clara: no hay workarounds publicados y las fallas de mayor impacto afectan a productos que pueden gestionar redes, controlar cargas de trabajo o sostener servicios de comunicaciones. Las organizaciones deben comprobar sus versiones y aplicar las actualizaciones de Cisco correspondientes, en lugar de confiar únicamente en la ausencia actual de explotación reportada.

Lo más importante

• Se divulgaron y corrigieron 15 vulnerabilidades.
• Crosswork tiene cuatro fallas críticas: tres con CVSS 10,0 y una con 9,9.
• Secure Workload incluye cuatro vulnerabilidades críticas y una de alta gravedad, con puntuaciones de entre 7,5 y 10,0.
• CVE-2026-20320, en BroadWorks, es una vulnerabilidad XXE remota y no autenticada con CVSS 7,5.
• Crosswork debe actualizarse a 7.2.1-SP.
• Secure Workload debe actualizarse a 3.10.9.1 en la rama 3.10 o a 4.0.4.16 en la rama 4.0.
• BroadWorks requiere la versión RI.2026.07.
• Cisco no publicó workarounds para los problemas incluidos en este paquete.

Crosswork: cuatro vulnerabilidades críticas

La actualización de seguridad de Cisco Crosswork afecta a Crosswork Data Gateway, Crosswork Network Controller y Crosswork Planning en las versiones 7.2.1 y anteriores. La versión corregida es 7.2.1-SP.

Las vulnerabilidades son:

• CVE-2026-20030: inyección SQL, con CVSS 10,0.
• CVE-2026-20357: ausencia de autenticación para una función crítica, con CVSS 10,0.
• CVE-2026-20358: control externo del sistema de archivos, con CVSS 10,0.
• CVE-2026-20359: credenciales protegidas de forma insuficiente, con CVSS 9,9.

Cisco indicó que detectó estas fallas durante sus procesos internos de evaluación de seguridad, incluidos análisis con modelos de inteligencia artificial de frontera. La compañía no reportó explotación maliciosa conocida y no ofreció un workaround.

El conjunto resulta especialmente delicado en entornos donde la infraestructura de administración está expuesta a redes no confiables o conectada con sistemas sensibles. La inyección SQL, el acceso no autenticado a funciones críticas, el control del sistema de archivos y la posible exposición de credenciales pueden comprometer la confidencialidad, integridad o disponibilidad de los sistemas. No obstante, las puntuaciones CVSS reflejan el impacto potencial y no demuestran que las fallas estén siendo explotadas activamente.

Secure Workload exige actualizar varios componentes

Cisco Secure Workload, tanto en despliegues SaaS como locales, también está afectado. La compañía identifica 3.10.9.1 como versión corregida para la rama 3.10 y anteriores, y 4.0.4.16 para la rama 4.0. En instalaciones locales, deben actualizarse todos los componentes aplicables de Cluster, Agent y Connector; Cisco señala que el Cluster SaaS ya fue actualizado.

Las cinco vulnerabilidades son:

• CVE-2026-20231: inyección de comandos, del sistema operativo o de argumentos, con CVSS 9,9.
• CVE-2026-20315: control de acceso incorrecto, con CVSS 10,0.
• CVE-2026-20317: autenticación incorrecta, con CVSS 10,0.
• CVE-2026-20318: validación incorrecta de entradas, incluidas clases asociadas al recorrido de rutas y al control de rutas externas, con CVSS 9,6.
• CVE-2026-20319: desbordamiento de búfer o escritura fuera de límites, con CVSS 7,5.

Aunque el aviso agrupado de Secure Workload reúne cinco problemas de alta prioridad, CVE-2026-20319 está clasificada individualmente como de alta gravedad, no crítica, según su puntuación CVSS. Las otras cuatro tienen puntuaciones correspondientes a vulnerabilidades críticas. Cisco atribuyó los hallazgos a sus procesos internos de evaluación, no informó de explotación conocida y no publicó medidas alternativas.

BroadWorks: una vulnerabilidad XXE permite leer datos sensibles

CVE-2026-20320 afecta al analizador XML de Open Client Interface (OCI) de Cisco BroadWorks. Se trata de una vulnerabilidad remota, no autenticada y ciega de inyección de entidades externas XML (XXE), con una puntuación CVSS 7,5.

La resolución de entidades externas está habilitada de forma predeterminada. Un atacante puede enviar un mensaje XML manipulado al servicio OCI-P para obtener información sensible de configuración y leer archivos accesibles para el usuario de BroadWorks.

Los componentes afectados incluyen:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Las versiones anteriores a RI.2026.07 están afectadas; Cisco identifica RI.2026.07 como la versión que corrige el problema. No se publicó ningún workaround. Cisco atribuyó el descubrimiento a Sandesh M. Gawai y dijo no tener conocimiento de explotación pública al divulgar el aviso.

Al no requerir autenticación y poder explotarse de forma remota mediante el servicio OCI-P, esta vulnerabilidad merece una revisión prioritaria de las versiones instaladas y una planificación urgente del parche, aunque no haya pruebas de explotación activa en la información disponible.

Cinco vulnerabilidades de gravedad media

Las cinco fallas restantes afectan a Unified Intelligence Center, RoomOS, los switches Industrial Ethernet 1000 Series y Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Esta vulnerabilidad de inyección SQL ciega, local y autenticada tiene una puntuación CVSS 6,5. Un usuario válido podría utilizar la interfaz web de administración para leer información de la base de datos interna.

Las versiones corregidas son 12.6(2) ES08 y 15.0(1) SU2. Las versiones anteriores a 12.6 deben migrarse a una versión compatible que incluya la solución. Cisco atribuyó el hallazgo a Hesham Ahmed, de Spark Professional Services, y no reportó explotación conocida ni workaround.

RoomOS: CVE-2026-20302

Una falla en la pila de controladores USB de RoomOS tiene una puntuación CVSS 6,1. La explotación requiere acceso físico a un puerto USB, pero podría permitir la ejecución de código arbitrario con privilegios de root.

Para despliegues locales, Cisco indica las versiones corregidas 11.32.7.0 y 26.7.2.2. En despliegues con conexión a la nube, las versiones son 11.40.1.1 y 26.7.1.12. Cisco reconoció a Jean-Michel Huguet, del Centro de Ciberseguridad de la OTAN, por el descubrimiento. No se conocen explotaciones y no se publicó un workaround.

Switches Industrial Ethernet 1000 Series

Las dos vulnerabilidades de estos switches se corrigen en la versión 1.9.6. Las versiones anteriores a la 1.9 deben migrarse a una versión corregida.

• CVE-2026-20232: vulnerabilidad de cross-site scripting almacenado, con CVSS 5,4. Un usuario remoto autenticado podría inyectar código que se ejecutara en el contexto de otro usuario de la interfaz de administración. Cisco atribuyó el hallazgo a Rockwell Automation.
• CVE-2026-20177: denegación de servicio por saturación del plano de administración, con CVSS 5,3. Un atacante no autenticado podría inundar el sistema con tráfico ICMP, SSH o HTTP y dejar fuera de servicio la interfaz gráfica, SSH o la API, sin afectar al reenvío de datos. Cisco detectó internamente esta vulnerabilidad.

Cisco no reportó explotación conocida ni publicó workarounds para ninguna de las dos fallas.

Packaged CCE y Unified CCE: CVE-2026-20314

Esta vulnerabilidad de Server-Side Request Forgery (SSRF) remota y autenticada tiene una puntuación CVSS 5,0. Mediante solicitudes HTTP manipuladas, un atacante podría hacer que el servidor afectado iniciara conexiones arbitrarias hacia otros recursos de red.

La corrección está en 15.0(1)ES202607. Las versiones anteriores a la 15.0 deben migrarse a una versión corregida. Cisco atribuyó el descubrimiento a Hesham Ahmed, de Spark Professional Services, y no reportó explotación conocida ni workaround.

Qué deben hacer los administradores

1. Inventariar los productos y las versiones instaladas. Revisar los entornos de Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 y CCE frente a los rangos afectados de Cisco.
2. Priorizar los servicios accesibles sin autenticación. Las fallas críticas de Crosswork y CVE-2026-20320 en BroadWorks no dependen del mismo nivel de acceso autenticado que requieren varios de los problemas de gravedad media.
3. Instalar la versión específica corregida. Los objetivos principales son Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 o 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 o 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 y CCE 15.0(1)ES202607. En RoomOS debe aplicarse la versión correspondiente al modelo de despliegue.
4. Actualizar todos los componentes de Secure Workload. En instalaciones locales, Cisco menciona expresamente Cluster, Agent y Connector.
5. Mantener la vigilancia sobre nuevos avisos. Que Cisco no conozca explotación al momento de la divulgación no garantiza que las vulnerabilidades permanezcan sin explotar.

La conclusión práctica es clara: no hay workarounds publicados y las fallas de mayor impacto afectan a productos que pueden gestionar redes, controlar cargas de trabajo o sostener servicios de comunicaciones. Las organizaciones deben comprobar sus versiones y aplicar las actualizaciones de Cisco correspondientes, en lugar de confiar únicamente en la ausencia actual de explotación reportada.