Cisco corregge 15 vulnerabilità, comprese falle critiche in Crosswork e Secure Workload

Le quattro CVE sono:

• CVE-2026-20030 — SQL injection, CVSS 10,0.
• CVE-2026-20357 — autenticazione assente per una funzione critica, CVSS 10,0.
• CVE-2026-20358 — controllo esterno del file system, CVSS 10,0.
• CVE-2026-20359 — credenziali protette in modo insufficiente, CVSS 9,9.

Cisco afferma che le vulnerabilità sono emerse durante i propri test interni, compresi test condotti con modelli di intelligenza artificiale di frontiera. L’azienda non ha segnalato sfruttamento malevolo noto e non ha indicato workaround.

La combinazione di accesso non autenticato a funzioni critiche, SQL injection, controllo del file system ed esposizione delle credenziali rappresenta un rischio particolarmente elevato per le organizzazioni che espongono infrastrutture di gestione o le collegano a sistemi di rete sensibili. I punteggi CVSS descrivono il potenziale impatto delle falle, ma non dimostrano che siano state sfruttate in attacchi reali.

Secure Workload: necessario aggiornare tutti i componenti interessati

Sono coinvolte sia le installazioni SaaS sia quelle on-premise di Cisco Secure Workload. Cisco indica la versione 3.10.9.1 come correttiva per il ramo 3.10 e precedenti e la 4.0.4.16 per il ramo 4.0. Negli ambienti on-premise devono essere aggiornati tutti i componenti applicabili: Cluster, Agent e Connector. Il Cluster SaaS, invece, è già stato aggiornato da Cisco.

Le cinque CVE sono:

• CVE-2026-20231 — classe di vulnerabilità relativa a injection di comandi, comandi del sistema operativo o argomenti, CVSS 9,9.
• CVE-2026-20315 — controllo degli accessi improprio, CVSS 10,0.
• CVE-2026-20317 — autenticazione impropria, CVSS 10,0.
• CVE-2026-20318 — validazione impropria degli input, comprese classi associate a path traversal e controllo di percorsi esterni, CVSS 9,6.
• CVE-2026-20319 — buffer overflow o scrittura oltre i limiti del buffer, CVSS 7,5.

La CVE-2026-20319 è classificata come vulnerabilità ad alta gravità, non critica; le altre quattro CVE di Secure Workload rientrano nella categoria critica in base ai punteggi indicati da Cisco. Anche in questo caso, l’azienda attribuisce le scoperte ai propri processi di test interni e non segnala sfruttamento noto o workaround.

BroadWorks: la vulnerabilità XXE senza autenticazione

La CVE-2026-20320 interessa il parser XML della Open Client Interface di Cisco BroadWorks. Si tratta di una vulnerabilità XXE remota, cieca e senza autenticazione, classificata ad alta gravità con un punteggio CVSS 7,5. La risoluzione delle entità esterne è attiva per impostazione predefinita: un messaggio XML appositamente creato inviato al servizio OCI-P può quindi esporre informazioni sensibili di configurazione e file accessibili all’utente BroadWorks.

Sono interessati:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Le versioni precedenti a RI.2026.07 sono vulnerabili; Cisco identifica RI.2026.07 come versione correttiva. Non è stato fornito alcun workaround. La scoperta è stata attribuita a Sandesh M. Gawai. Cisco ha inoltre dichiarato di non essere a conoscenza di sfruttamento pubblico della falla al momento della divulgazione.

Poiché il problema è raggiungibile da remoto e non richiede autenticazione, gli amministratori BroadWorks dovrebbero verificare rapidamente la versione installata e pianificare l’aggiornamento, pur in assenza di prove di sfruttamento attivo.

Le cinque vulnerabilità di gravità media negli altri prodotti

Le restanti cinque vulnerabilità interessano Unified Intelligence Center, RoomOS, gli switch Industrial Ethernet 1000 e Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Questa vulnerabilità di SQL injection cieca, locale e autenticata ha un punteggio CVSS 6,5. Un utente in possesso di credenziali valide potrebbe utilizzare l’interfaccia web di gestione per leggere dati dal database interno.

Le versioni correttive sono 12.6(2) ES08 e 15.0(1) SU2. Le versioni precedenti alla 12.6 devono migrare a una release supportata e corretta. Cisco ha attribuito la scoperta a Hesham Ahmed di Spark Professional Services e non ha indicato workaround o sfruttamento malevolo noto.

RoomOS: CVE-2026-20302

La falla nello stack dei driver USB di RoomOS ha un punteggio CVSS 6,1. Lo sfruttamento richiede accesso fisico a una porta USB, ma potrebbe consentire l’esecuzione di codice arbitrario con privilegi root.

Per le installazioni on-premise, Cisco indica le versioni 11.32.7.0 e 26.7.2.2. Per gli ambienti cloud-aware, le versioni correttive sono 11.40.1.1 e 26.7.1.12.

La vulnerabilità è stata attribuita a Jean-Michel Huguet del NATO Cyber Security Centre. Cisco non segnala sfruttamento noto né workaround.

Switch Industrial Ethernet 1000

Entrambe le vulnerabilità degli switch sono corrette nella versione 1.9.6. Le release precedenti alla 1.9 devono migrare a una versione corretta.

• CVE-2026-20232 — cross-site scripting persistente, CVSS 5,4. Un utente remoto autenticato potrebbe inserire uno script eseguito nel contesto dell’interfaccia di gestione di un altro utente. La scoperta è stata attribuita a Rockwell Automation.
• CVE-2026-20177 — vulnerabilità di denial of service tramite saturazione del piano di gestione, CVSS 5,3. Un attaccante non autenticato potrebbe sovraccaricare il traffico ICMP, SSH o HTTP, rendendo indisponibili interfaccia grafica, SSH o API. Il forwarding dei dati, secondo Cisco, non verrebbe compromesso.

Cisco afferma di non conoscere workaround o sfruttamento malevolo per nessuna delle due falle.

Packaged CCE e Unified CCE: CVE-2026-20314

Questa vulnerabilità SSRF, remota e autenticata, ha un punteggio CVSS 5,0. Richieste HTTP appositamente create potrebbero indurre il server interessato a generare richieste verso reti o sistemi scelti dall’attaccante.

La correzione è inclusa nella versione 15.0(1)ES202607. Le versioni precedenti alla 15.0 devono migrare a una release corretta. Cisco ha attribuito la scoperta a Hesham Ahmed di Spark Professional Services, senza indicare workaround o sfruttamento noto.

Cosa devono fare gli amministratori

1. Censire prodotti e versioni. Verificare le installazioni di Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 e CCE rispetto agli intervalli interessati indicati da Cisco.
2. Dare priorità ai servizi esposti senza autenticazione. Le vulnerabilità critiche di Crosswork e la CVE-2026-20320 di BroadWorks non richiedono lo stesso livello di accesso autenticato previsto da diverse falle di gravità media.
3. Installare la versione correttiva specifica del prodotto. Gli obiettivi principali sono Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 o 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 o 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 e CCE 15.0(1)ES202607. Per RoomOS va utilizzata la versione appropriata al modello di distribuzione.
4. Aggiornare tutti i componenti Secure Workload richiesti. Per le installazioni on-premise Cisco cita esplicitamente Cluster, Agent e Connector.
5. Continuare a monitorare gli aggiornamenti sull’eventuale sfruttamento. L’espressione “nessuno sfruttamento noto” riflette la situazione osservata da Cisco al momento della divulgazione e non garantisce che le falle rimangano inutilizzate.

La conclusione pratica è chiara: non risultano workaround disponibili e le vulnerabilità più pericolose interessano prodotti che possono fornire funzioni di gestione della rete, controllo dei carichi di lavoro o infrastruttura per le comunicazioni. Le organizzazioni dovrebbero verificare subito le versioni installate e applicare gli aggiornamenti Cisco pertinenti, senza fare affidamento sull’assenza di attacchi segnalati.