Cisco täpper till 15 säkerhetshål – flera kritiska brister i Crosswork och Secure Workload

Cisco har publicerat säkerhetsuppdateringar för 15 sårbarheter i sitt produktutbud. De allvarligaste problemen finns i nätverksplattformen Crosswork och arbetsbelastningsplattformen Secure Workload, där åtta sårbarheter har kritiska CVSS-betyg – flera med maximala 10,0.

Uppdateringarna omfattar även en oautentiserad XML External Entity-sårbarhet (XXE) i BroadWorks samt sårbarheter med medelhög allvarlighetsgrad i bland annat RoomOS, Unified Intelligence Center, industriella Ethernet-switchar och Contact Center Enterprise.

Cisco uppgav vid publiceringen att företaget inte kände till någon offentlig rapportering eller skadlig exploatering av sårbarheterna. Det finns inte heller någon angiven workaround för de berörda produkterna. Den primära åtgärden är därför att installera respektive säkerhetsuppdatering.

Snabb överblick

• 15 sårbarheter har offentliggjorts och åtgärdats.
• Åtta sårbarheter är kritiska enligt de angivna CVSS-betygen: fyra i Crosswork och fyra i Secure Workload.
• CVE-2026-20320 i BroadWorks har CVSS 7,5 och kan utnyttjas på distans utan autentisering för att läsa känslig information.
• Berörda Crosswork-installationer ska uppgraderas till 7.2.1-SP.
• Secure Workload har korrigeringar i 3.10.9.1 för 3.10-serien och 4.0.4.16 för 4.0-serien.
• Cisco har inte publicerat någon workaround för de berörda problemen.

Fyra kritiska sårbarheter i Cisco Crosswork

Cisco Crossworks säkerhetsuppdatering gäller Crosswork Data Gateway, Crosswork Network Controller och Crosswork Planning i version 7.2.1 och tidigare. Den rekommenderade versionen är 7.2.1-SP.

De fyra CVE-numren är:

• CVE-2026-20030 – SQL-injektion, CVSS 10,0.
• CVE-2026-20357 – autentisering saknas för en kritisk funktion, CVSS 10,0.
• CVE-2026-20358 – extern kontroll över filsystemet, CVSS 10,0.
• CVE-2026-20359 – otillräckligt skyddade autentiseringsuppgifter, CVSS 9,9.

Enligt Cisco upptäcktes problemen genom företagets interna tester, där även så kallade frontier AI-modeller ingick. Cisco känner inte till någon skadlig användning och har inte angett någon workaround.

Kombinationen av oautentiserad åtkomst till kritiska funktioner, SQL-injektion, filsystemskontroll och exponering av autentiseringsuppgifter innebär en särskilt allvarlig risk för organisationer som exponerar sin hanteringsinfrastruktur eller kopplar den till känsliga nätverkssystem. CVSS-värdena beskriver den möjliga påverkan – de bevisar inte att sårbarheterna har utnyttjats i verkligheten.

Secure Workload kräver uppdatering av flera komponenter

Både Cisco Secure Workload SaaS och lokalt installerade miljöer berörs. Cisco anger 3.10.9.1 som korrigerad version för 3.10 och tidigare, samt 4.0.4.16 för 4.0-serien. För lokala installationer måste alla berörda komponenter – Cluster, Agent och Connector – uppdateras. Cisco uppger att SaaS-klustret redan har uppdaterats.

Sårbarheterna är:

• CVE-2026-20231 – injektion av kommandon, operativsystemskommandon eller argument, CVSS 9,9.
• CVE-2026-20315 – bristande åtkomstkontroll, CVSS 10,0.
• CVE-2026-20317 – bristande autentisering, CVSS 10,0.
• CVE-2026-20318 – bristande validering av indata, inklusive sökvägsvandring och extern kontroll av sökvägar, CVSS 9,6.
• CVE-2026-20319 – buffertspill eller skrivning utanför tillåtet minnesområde, CVSS 7,5.

Den sista sårbarheten är allvarlig men inte kritisk. De fyra övriga Secure Workload-sårbarheterna ligger på kritisk nivå enligt sina CVSS-betyg. Cisco kopplar upptäckterna till sina interna testprocesser och rapporterar ingen känd exploatering eller workaround.

BroadWorks: oautentiserad XXE-brist med CVSS 7,5

CVE-2026-20320 påverkar XML-tolken i Open Client Interface i Cisco BroadWorks. Det är en allvarlig, oautentiserad och fjärrutnyttjbar så kallad blind XXE-sårbarhet med CVSS 7,5.

Eftersom extern entitetsupplösning är aktiverad som standard kan en angripare skicka ett specialkonstruerat XML-meddelande till OCI-P-tjänsten. Ett lyckat angrepp kan ge åtkomst till känslig konfigurationsinformation och filer som BroadWorks-användaren har rätt att läsa.

Följande komponenter berörs:

• BroadWorks Application Delivery Platform
• BroadWorks Application Server
• BroadWorks Profile Server
• BroadWorks Xtended Services Platform

Versioner före RI.2026.07 är sårbara, och RI.2026.07 är den version Cisco anger som korrigering. Någon workaround har inte publicerats. Cisco krediterar Sandesh M. Gawai för upptäckten och uppgav att företaget inte kände till någon offentlig exploatering vid publiceringen.

Eftersom sårbarheten kan nås på distans utan autentisering bör BroadWorks-administratörer prioritera versionskontroll och installation av uppdateringen, även om det saknas belägg för aktiv exploatering.

Fem sårbarheter med medelhög allvarlighetsgrad

De återstående fem sårbarheterna påverkar Unified Intelligence Center, RoomOS, Industrial Ethernet 1000-switchar samt Packaged Contact Center Enterprise och Unified Contact Center Enterprise.

Unified Intelligence Center

CVE-2026-20327 är en autentiserad, lokal blind SQL-injektionssårbarhet med CVSS 6,5. En användare med giltiga inloggningsuppgifter kan via webbgränssnittet för administration läsa information från den interna databasen.

Korrigerade versioner är 12.6(2) ES08 och 15.0(1) SU2. Versioner före 12.6 måste migreras till en stödd, korrigerad version. Cisco krediterar Hesham Ahmed vid Spark Professional Services och uppgav att det saknas både workaround och känd skadlig användning.

RoomOS

CVE-2026-20302 påverkar USB-drivrutinsstacken i RoomOS och har CVSS 6,1. Ett angrepp kräver fysisk åtkomst till USB-porten, men kan i värsta fall leda till körning av godtycklig kod med root-behörighet.

För lokalt driftade installationer anges versionerna 11.32.7.0 och 26.7.2.2 som korrigeringar. För molnmedveten drift är motsvarande versioner 11.40.1.1 och 26.7.1.12.

Cisco krediterar Jean-Michel Huguet vid NATO Cyber Security Centre. Företaget rapporterar ingen känd exploatering och har inte angett någon workaround.

Industrial Ethernet 1000-switchar

Båda sårbarheterna i switchserien åtgärdas i version 1.9.6. Versioner före 1.9 måste migreras till en korrigerad version.

• CVE-2026-20232 är en lagrad cross-site scripting-sårbarhet (XSS) med CVSS 5,4. En autentiserad fjärranvändare kan injicera skript som körs i en annan användares kontext i administrationsgränssnittet. Cisco krediterar Rockwell Automation.
• CVE-2026-20177 är en överbelastningssårbarhet i hanteringsplanet med CVSS 5,3. En oautentiserad angripare kan översvämma ICMP-, SSH- eller HTTP-trafik och göra det grafiska gränssnittet, SSH eller API:t otillgängligt. Vid ett sådant angrepp ska själva vidarebefordringen av data enligt Cisco inte påverkas.

Cisco har inte angett någon workaround eller känd skadlig användning för någon av sårbarheterna.

Packaged CCE och Unified CCE

CVE-2026-20314 är en autentiserad, fjärrutnyttjbar Server-Side Request Forgery-sårbarhet (SSRF) med CVSS 5,0. Manipulerade HTTP-förfrågningar kan få den berörda servern att skicka godtyckliga nätverksförfrågningar.

Korrigeringen finns i 15.0(1)ES202607. Versioner före 15.0 måste migreras till en korrigerad version. Cisco krediterar Hesham Ahmed vid Spark Professional Services, uppger att ingen workaround finns och rapporterar ingen känd exploatering.

Vad administratörer bör göra nu

1. Kartlägg produkter och versioner. Kontrollera Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 och CCE mot Ciscos listor över berörda versioner.
2. Prioritera system utan autentiseringskrav. Crossworks kritiska sårbarheter och BroadWorks CVE-2026-20320 kan utnyttjas utan samma typ av inloggning som krävs för flera av de medelallvarliga problemen.
3. Installera rätt korrigering för varje produkt. Viktiga målversioner är Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 eller 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 eller 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 och CCE 15.0(1)ES202607. RoomOS-administratörer ska välja version utifrån driftsmodell.
4. Uppdatera alla relevanta Secure Workload-komponenter. Cisco pekar särskilt ut Cluster-, Agent- och Connector-komponenterna i lokala installationer.
5. Följ fortsatt information om exploatering. Att Cisco inte känner till någon exploatering vid publiceringstillfället är inte en garanti för att problemen förblir outnyttjade.

Den praktiska slutsatsen är enkel: det finns inga angivna workarounds, och de allvarligaste bristerna påverkar produkter som kan ge kontroll över nätverkshantering, arbetsbelastningar eller kommunikationsinfrastruktur. Organisationer bör därför verifiera sina versioner och planera in de aktuella Cisco-uppdateringarna i stället för att förlita sig på att ingen exploatering ännu har rapporterats.