Cisco dicht 15 kwetsbaarheden in netwerk- en communicatieproducten

Het gaat om de volgende CVE’s:

• CVE-2026-20030 — SQL-injectie, CVSS 10,0.
• CVE-2026-20357 — ontbrekende authenticatie voor een kritieke functie, CVSS 10,0.
• CVE-2026-20358 — externe controle over het bestandssysteem, CVSS 10,0.
• CVE-2026-20359 — onvoldoende beschermde inloggegevens, CVSS 9,9.

Cisco ontdekte de problemen tijdens interne beveiligingstests, waaronder tests met zogenoemde frontier-AI-modellen. Het bedrijf meldt geen bekend misbruik en biedt geen workaround.

De combinatie van toegang tot kritieke functies zonder authenticatie, SQL-injectie, controle over het bestandssysteem en blootstelling van inloggegevens vormt een bijzonder ernstig risico voor organisaties die hun beheerinfrastructuur aan netwerken blootstellen of met gevoelige systemen verbinden. Een CVSS-score beschrijft het potentiële risico en de impact; de score bewijst niet dat een kwetsbaarheid daadwerkelijk in het wild wordt uitgebuit.

Secure Workload vereist updates van meerdere componenten

Zowel Cisco Secure Workload SaaS als lokale installaties zijn getroffen. Voor versie 3.10 en eerdere versies noemt Cisco 3.10.9.1 als oplossing; voor de 4.0-lijn is dat 4.0.4.16. Bij lokale implementaties moeten alle toepasselijke Cluster-, Agent- en Connector-componenten worden bijgewerkt. Cisco meldt dat de SaaS Cluster al is aangepast.

De vijf CVE’s zijn:

• CVE-2026-20231 — injectie van opdrachten, besturingssysteemcommando’s of argumenten, CVSS 9,9.
• CVE-2026-20315 — onjuiste toegangscontrole, CVSS 10,0.
• CVE-2026-20317 — gebrekkige authenticatie, CVSS 10,0.
• CVE-2026-20318 — onvoldoende invoervalidatie, waaronder padtraversal en externe controle over paden, CVSS 9,6.
• CVE-2026-20319 — buffer overflow of schrijven buiten de toegewezen geheugenruimte, CVSS 7,5.

De laatste kwetsbaarheid valt op basis van de CVSS-score in de categorie hoog en niet kritiek. De andere vier Secure Workload-problemen zijn volgens hun opgegeven scores kritiek. Cisco schrijft de ontdekkingen toe aan zijn interne testprocessen en meldt geen bekend misbruik of workaround.

BroadWorks: niet-geauthenticeerde XXE-fout

CVE-2026-20320 treft de XML-parser van de Open Client Interface in Cisco BroadWorks. Het gaat om een kwetsbaarheid met hoge ernst (CVSS 7,5) waarbij een aanvaller op afstand en zonder authenticatie een zogenoemde blind XXE-aanval kan uitvoeren. Omdat het oplossen van externe entiteiten standaard is ingeschakeld, kan een speciaal samengesteld bericht naar de OCI-P-service gevoelige configuratie-informatie en bestanden waartoe de BroadWorks-gebruiker toegang heeft uitlezen.

De kwetsbaarheid treft onder meer:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Releases vóór RI.2026.07 zijn kwetsbaar. Cisco noemt RI.2026.07 als vereiste fix en heeft geen workaround beschikbaar gesteld. De ontdekking is gemeld door Sandesh M. Gawai. Cisco zegt niet op de hoogte te zijn van openbaar misbruik op het moment van bekendmaking.

Omdat deze fout geen account vereist en op afstand via de OCI-P-service bereikbaar is, doen BroadWorks-beheerders er verstandig aan de geïnstalleerde versie direct te controleren en de update in te plannen. De beschikbare informatie toont geen actief misbruik aan, maar dat is geen reden om de patch uit te stellen.

Vijf middelzware kwetsbaarheden in andere Cisco-producten

De resterende vijf kwetsbaarheden zitten in Unified Intelligence Center, RoomOS, Industrial Ethernet 1000-switches en Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Deze lokaal uitvoerbare, geauthenticeerde blind SQL-injectie heeft een score van CVSS 6,5. Een gebruiker met een geldig account kan via de webbeheerinterface gegevens uit de interne database lezen. Cisco noemt 12.6(2) ES08 en 15.0(1) SU2 als fixes. Releases ouder dan 12.6 moeten worden gemigreerd naar een ondersteunde versie met oplossing.

Cisco schrijft de ontdekking toe aan Hesham Ahmed van Spark Professional Services. Er is geen workaround en geen bekend kwaadaardig gebruik gemeld.

RoomOS: CVE-2026-20302

Een probleem in de USB-drivers van RoomOS heeft een score van CVSS 6,1. Misbruik vereist fysieke toegang tot een USB-poort, maar kan leiden tot het uitvoeren van willekeurige code met rootrechten.

Voor lokale implementaties noemt Cisco de versies 11.32.7.0 en 26.7.2.2 als oplossing. Voor cloud-aware implementaties zijn dat 11.40.1.1 en 26.7.1.12. Cisco noemt Jean-Michel Huguet van het NATO Cyber Security Centre als onderzoeker en meldt geen bekend misbruik of workaround.

Industrial Ethernet 1000-switches

Beide kwetsbaarheden in deze switches zijn opgelost in versie 1.9.6. Releases vóór versie 1.9 moeten worden gemigreerd naar een versie met de oplossing.

• CVE-2026-20232 is een opgeslagen cross-site-scriptingkwetsbaarheid (XSS) met CVSS 5,4. Een geauthenticeerde gebruiker op afstand kan scriptcode invoegen die in de beheerinterfacecontext van een andere gebruiker wordt uitgevoerd. Cisco noemt Rockwell Automation als melder.
• CVE-2026-20177 is een denial-of-servicekwetsbaarheid door overbelasting van het beheervlak, met CVSS 5,3. Een niet-geauthenticeerde aanvaller kan ICMP-, SSH- of HTTP-verkeer overspoelen, waardoor de grafische interface, SSH of API onbereikbaar wordt. Het doorsturen van netwerkverkeer blijft volgens Cisco wel functioneren. Cisco ontdekte dit probleem zelf.

Voor beide fouten vermeldt Cisco geen workaround of bekend kwaadaardig gebruik.

Packaged CCE en Unified CCE: CVE-2026-20314

Deze op afstand misbruikbare, geauthenticeerde Server-Side Request Forgery-kwetsbaarheid (SSRF) heeft een score van CVSS 5,0. Met speciaal samengestelde HTTP-verzoeken kan een aanvaller de server ertoe aanzetten willekeurige netwerkverzoeken te versturen. De oplossing zit in 15.0(1)ES202607. Releases ouder dan 15.0 moeten worden gemigreerd naar een vaste versie.

Ook deze kwetsbaarheid is gemeld door Hesham Ahmed van Spark Professional Services. Cisco noemt geen workaround en meldt geen bekend misbruik.

Wat beheerders nu moeten doen

1. Breng de getroffen producten en versies in kaart. Controleer Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 en CCE tegen de door Cisco opgegeven versiebereiken.
2. Geef systemen zonder authenticatie prioriteit. De kritieke Crosswork-problemen en BroadWorks CVE-2026-20320 vereisen niet hetzelfde type geauthenticeerde toegang als verschillende middelzware kwetsbaarheden.
3. Installeer de juiste productupdate. De belangrijkste doelversies zijn Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 of 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 of 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 en CCE 15.0(1)ES202607. RoomOS-beheerders moeten de fix kiezen die past bij hun implementatiemodel.
4. Werk alle vereiste Secure Workload-componenten bij. Cisco noemt specifiek de Cluster-, Agent- en Connector-componenten voor lokale installaties.
5. Blijf alert op nieuwe informatie over misbruik. De melding dat er geen bekend misbruik is, weerspiegelt Cisco’s kennis op het moment van publicatie en garandeert niet dat de kwetsbaarheden niet alsnog worden uitgebuit.

De praktische conclusie is duidelijk: er zijn geen workarounds vermeld en de zwaarste problemen treffen producten die netwerkbeheer, workloadcontrole of communicatie-infrastructuur kunnen ondersteunen. Organisaties doen er daarom goed aan hun versies te verifiëren en de toepasselijke Cisco-updates te installeren, in plaats van te vertrouwen op het ontbreken van meldingen over actief misbruik.