Cisco tetter 15 sikkerhetshull i Crosswork, Secure Workload og BroadWorks

Cisco har publisert sikkerhetsoppdateringer for 15 sårbarheter i flere deler av produktporteføljen. De mest alvorlige problemene gjelder Cisco Crosswork og Secure Workload, der flere feil har maksimal CVSS-score på 10,0. Oppdateringen omfatter også en uautentisert XML External Entity-sårbarhet (XXE) i BroadWorks samt middels alvorlige feil i samarbeids-, kontaktsenter- og industrinettverksprodukter.

Cisco sier at selskapet ikke kjente til offentlig omtale eller ondsinnet utnyttelse av sårbarhetene da sikkerhetsmeldingene ble publisert. Det finnes heller ingen oppgitte midlertidige løsninger. For berørte systemer er derfor oppgradering til angitt versjon det viktigste tiltaket.

Kort fortalt

• 15 sårbarheter er offentliggjort og rettet.
• Ni er kritiske: fire i Crosswork og fem i Secure Workload, hvorav én har CVSS 7,5 og dermed er klassifisert som alvorlig, men ikke kritisk, basert på den oppgitte scoren.
• CVE-2026-20320 i BroadWorks har CVSS 7,5 og kan utnyttes eksternt uten autentisering.
• Crosswork må oppgraderes til 7.2.1-SP.
• Secure Workload må oppgraderes til 3.10.9.1 i 3.10-serien eller 4.0.4.16 i 4.0-serien.
• Cisco har ikke oppgitt noen workaround for de berørte feilene.

Fire kritiske sårbarheter i Cisco Crosswork

Cisco Crosswork Data Gateway, Crosswork Network Controller og Crosswork Planning i versjon 7.2.1 og tidligere er berørt. Cisco anbefaler oppgradering til 7.2.1-SP.

De fire CVE-ene er:

• CVE-2026-20030 – SQL-injeksjon, CVSS 10,0.
• CVE-2026-20357 – manglende autentisering for en kritisk funksjon, CVSS 10,0.
• CVE-2026-20358 – ekstern kontroll over filsystemet, CVSS 10,0.
• CVE-2026-20359 – utilstrekkelig beskyttelse av innloggingsopplysninger, CVSS 9,9.

Ifølge sikkerhetsmeldingen ble feilene oppdaget gjennom Ciscos interne sikkerhetstesting, blant annet testing med såkalte frontier AI-modeller. Cisco opplyser at det ikke finnes kjente tilfeller av ondsinnet utnyttelse, og at det ikke finnes noen workaround.

Kombinasjonen av uautentisert tilgang til kritiske funksjoner, SQL-injeksjon, filsystemkontroll og mulig eksponering av innloggingsopplysninger gjør disse feilene spesielt alvorlige for virksomheter som eksponerer administrasjonsinfrastruktur mot nettverk eller kobler den til sensitive systemer. CVSS-scoren beskriver det mulige skadeomfanget, men dokumenterer ikke at sårbarhetene faktisk er utnyttet i praksis.

Fem sårbarheter i Secure Workload krever komponentoppdateringer

Både Cisco Secure Workload SaaS og lokale installasjoner er berørt. Cisco oppgir 3.10.9.1 som rettet versjon for 3.10-serien og tidligere, og 4.0.4.16 for 4.0-serien. Ved lokale installasjoner må alle aktuelle Cluster-, Agent- og Connector-komponenter oppdateres. Cisco opplyser at SaaS-klyngen allerede er oppdatert.

Sårbarhetene er:

• CVE-2026-20231 – injeksjon av kommandoer, operativsystemkommandoer eller argumenter, CVSS 9,9.
• CVE-2026-20315 – feil i tilgangskontrollen, CVSS 10,0.
• CVE-2026-20317 – feil i autentiseringen, CVSS 10,0.
• CVE-2026-20318 – mangelfull validering av inndata, blant annet knyttet til sti-traversering og ekstern kontroll av filbaner, CVSS 9,6.
• CVE-2026-20319 – buffer-overflyt eller skriving utenfor tildelt minneområde, CVSS 7,5.

Den siste feilen er alvorlig, men ikke kritisk basert på CVSS-scoren. De fire øvrige Secure Workload-feilene er kritiske. Cisco knytter funnene til interne testprosesser, opplyser at ingen utnyttelse er kjent, og har ikke oppgitt noen workaround.

BroadWorks: Uautentisert XXE-feil kan lese sensitive data

CVE-2026-20320 rammer XML-parseren i Open Client Interface i Cisco BroadWorks. Det er en alvorlig, uautentisert og fjernutnyttbar «blind» XXE-sårbarhet med CVSS 7,5. Fordi behandling av eksterne XML-entiteter er aktivert som standard, kan en angriper sende en spesiallaget melding til OCI-P-tjenesten. Det kan gi tilgang til sensitiv konfigurasjonsinformasjon og filer som BroadWorks-brukeren har tilgang til.

Berørte komponenter er:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Utgaver før RI.2026.07 er berørt, og RI.2026.07 er den oppgitte rettelsen. Det finnes ingen workaround. Cisco krediterer Sandesh M. Gawai for oppdagelsen og sier at selskapet ikke kjente til offentlig utnyttelse da feilen ble meldt.

Siden sårbarheten kan nås eksternt uten autentisering, bør BroadWorks-administratorer kontrollere versjonen og prioritere oppdateringen – selv om det foreløpig ikke er dokumentert aktiv utnyttelse.

Fem middels alvorlige feil i andre Cisco-produkter

De resterende sårbarhetene rammer Unified Intelligence Center, RoomOS, Industrial Ethernet 1000-serien og Packaged Contact Center Enterprise.

Unified Intelligence Center: CVE-2026-20327

Dette er en autentisert, lokal «blind» SQL-injeksjonssårbarhet med CVSS 6,5. En bruker med gyldig tilgang kan via webgrensesnittet for administrasjon lese data fra den interne databasen. Rettede versjoner er 12.6(2) ES08 og 15.0(1) SU2. Utgaver før 12.6 må flyttes til en støttet versjon med rettelse.

Cisco krediterer Hesham Ahmed fra Spark Professional Services for funnet. Det finnes ingen workaround, og Cisco kjenner ikke til ondsinnet bruk.

RoomOS: CVE-2026-20302

En feil i USB-driverstakken i RoomOS har CVSS 6,1. Utnyttelse krever fysisk tilgang til en USB-port, men kan i verste fall føre til kjøring av vilkårlig kode med root-rettigheter.

For lokale installasjoner oppgir Cisco versjonene 11.32.7.0 og 26.7.2.2 som rettelser. For skytilkoblede installasjoner er rettelsene 11.40.1.1 og 26.7.1.12. Cisco krediterer Jean-Michel Huguet fra NATO Cyber Security Centre og opplyser at ingen utnyttelse er kjent. Det finnes ingen workaround.

Industrial Ethernet 1000-svitsjer

Begge sårbarhetene er rettet i versjon 1.9.6. Utgaver før versjon 1.9 må flyttes til en rettet versjon.

• CVE-2026-20232 er en lagret cross-site scripting-sårbarhet (XSS) med CVSS 5,4. En autentisert ekstern bruker kan legge inn skript som kjører i administrasjonsgrensesnittet til en annen bruker. Cisco krediterer Rockwell Automation.
• CVE-2026-20177 er en tjenestenekt-sårbarhet mot administrasjonsplanet med CVSS 5,3. En uautentisert angriper kan oversvømme ICMP-, SSH- eller HTTP-trafikk slik at grafisk grensesnitt, SSH eller API blir utilgjengelig. Selve datavideresendingen skal fortsatt fungere. Cisco fant feilen gjennom intern testing.

Cisco oppgir ingen workaround eller kjente tilfeller av ondsinnet bruk for de to feilene.

Packaged CCE og Unified CCE: CVE-2026-20314

Dette er en autentisert, fjernutnyttbar Server-Side Request Forgery-sårbarhet (SSRF) med CVSS 5,0. Spesiallagde HTTP-forespørsler kan få serveren til å sende vilkårlige nettverksforespørsler. Feilen er rettet i 15.0(1)ES202607. Utgaver før 15.0 må flyttes til en rettet versjon.

Cisco krediterer Hesham Ahmed fra Spark Professional Services. Det finnes ingen workaround, og Cisco kjenner ikke til utnyttelse.

Dette bør administratorer gjøre nå

1. Kartlegg berørte produkter og versjoner. Kontroller Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 og CCE mot Ciscos oversikt over berørte versjoner.
2. Prioriter systemer som kan nås uten autentisering. De kritiske Crosswork-feilene og BroadWorks-feilen CVE-2026-20320 har ikke samme krav om innlogging som flere av de middels alvorlige feilene.
3. Installer riktig rettet versjon. De viktigste målene er Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 eller 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 eller 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 og CCE 15.0(1)ES202607. RoomOS-administratorer må velge versjon etter installasjonsmodell.
4. Oppdater alle nødvendige Secure Workload-komponenter. For lokale installasjoner fremhever Cisco Cluster-, Agent- og Connector-komponentene spesielt.
5. Følg med på ny informasjon om utnyttelse. At Cisco ikke kjenner til utnyttelse ved publisering, er ikke en garanti for at sårbarhetene forblir uutnyttet.

Det viktigste budskapet er enkelt: Cisco har ikke oppgitt noen midlertidige løsninger, og de mest alvorlige feilene rammer produkter som kan være sentrale for nettverksstyring, arbeidslastkontroll og kommunikasjon. Virksomheter bør derfor kontrollere versjonene sine og planlegge oppdateringene, i stedet for å vente på bekreftelser om aktiv utnyttelse.