Crosswork: чотири критичні уразливості

Оновлення безпеки охоплює Cisco Crosswork Data Gateway, Crosswork Network Controller і Crosswork Planning версій 7.2.1 та попередніх. Користувачам потрібно оновити ці компоненти до 7.2.1-SP.

До випуску увійшли такі CVE:

• CVE-2026-20030 — SQL-ін’єкція, CVSS 10.0.
• CVE-2026-20357 — відсутність автентифікації для критично важливої функції, CVSS 10.0.
• CVE-2026-20358 — зовнішнє керування файловою системою, CVSS 10.0.
• CVE-2026-20359 — недостатній захист облікових даних, CVSS 9.9.

Cisco виявила ці проблеми під час внутрішнього тестування, зокрема із залученням так званих frontier AI models — передових моделей штучного інтелекту. Компанія не повідомила про відому зловмисну експлуатацію та не запропонувала тимчасового способу захисту.

Поєднання доступу до критичних функцій без автентифікації, SQL-ін’єкції, контролю файлової системи й можливого розкриття облікових даних створює особливо серйозний ризик для організацій, де Crosswork доступний із мережі або підключений до систем із чутливою інфраструктурою. Водночас оцінка CVSS описує потенційний вплив уразливості, але сама по собі не доводить, що її вже використовують у реальних атаках.

Secure Workload: потрібно оновити всі відповідні компоненти

Уразливості зачіпають хмарні та локальні розгортання Cisco Secure Workload. Для версії 3.10 і попередніх Cisco вказує виправлення 3.10.9.1, а для гілки 4.0 — 4.0.4.16. У локальних інсталяціях потрібно оновити всі відповідні компоненти Cluster, Agent і Connector. Cisco зазначає, що хмарний Cluster уже оновлено.

П’ять уразливостей мають такі ідентифікатори:

• CVE-2026-20231 — ін’єкція команд, команд операційної системи або аргументів, CVSS 9.9.
• CVE-2026-20315 — некоректний контроль доступу, CVSS 10.0.
• CVE-2026-20317 — некоректна автентифікація, CVSS 10.0.
• CVE-2026-20318 — некоректна перевірка введених даних, зокрема проблеми класу path traversal і зовнішнього керування шляхами, CVSS 9.6.
• CVE-2026-20319 — переповнення буфера або запис за межами дозволеної області пам’яті, CVSS 7.5.

Остання проблема має високий, а не критичний рівень. Інші чотири CVE у Secure Workload класифіковані як критичні за наведеними оцінками CVSS. Cisco пов’язала виявлення цих проблем із внутрішніми процедурами тестування, повідомила про відсутність відомої експлуатації та не надала workaround.

BroadWorks: віддалена XXE-атака без автентифікації

CVE-2026-20320 стосується XML-парсера Open Client Interface у Cisco BroadWorks. Це уразливість високого рівня — CVSS 7.5, — яку можна експлуатувати віддалено без автентифікації. Оскільки обробка зовнішніх XML-сутностей увімкнена за замовчуванням, спеціально сформоване повідомлення, надіслане до сервісу OCI-P, може розкрити конфігураційні дані та файли, доступні користувачу BroadWorks.

Проблема зачіпає такі компоненти:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Уразливими є випуски до RI.2026.07, а необхідним виправленням є RI.2026.07. Обхідного рішення немає. Cisco вказала дослідника Sandesh M. Gawai як автора повідомлення про проблему та заявила, що не знала про її публічну експлуатацію на момент розкриття.

Через відсутність вимоги до автентифікації й можливість віддаленого доступу через OCI-P операторам BroadWorks варто невідкладно перевірити версію системи та розгорнути патч. Водночас наявні дані не підтверджують, що уразливість уже активно використовують у атаках.

П’ять уразливостей середньої тяжкості в інших продуктах Cisco

Решта проблем стосується Unified Intelligence Center, RoomOS, комутаторів Industrial Ethernet 1000 Series і Packaged Contact Center Enterprise.

Unified Intelligence Center — CVE-2026-20327

Це автентифікована локальна blind SQL-ін’єкція з оцінкою CVSS 6.5. Користувач із дійсним обліковим записом може через вебінтерфейс адміністрування прочитати дані з внутрішньої бази. Виправлення доступні у версіях 12.6(2) ES08 і 15.0(1) SU2. Випуски, старші за 12.6, потрібно перенести на підтримувану виправлену версію.

Cisco вказала дослідника Hesham Ahmed із Spark Professional Services і повідомила, що workaround та відома зловмисна експлуатація відсутні.

RoomOS — CVE-2026-20302

Уразливість у стеку USB-драйвера RoomOS має оцінку CVSS 6.1. Для експлуатації потрібен фізичний доступ до USB, однак успішна атака може дати змогу виконати довільний код із правами root.

Для локальних розгортань Cisco перелічує виправлення 11.32.7.0 і 26.7.2.2. Для хмарних розгортань — 11.40.1.1 і 26.7.1.12. Cisco подякувала за виявлення Jean-Michel Huguet із NATO Cyber Security Centre та повідомила про відсутність відомої експлуатації й workaround.

Комутатори Industrial Ethernet 1000

Обидві уразливості виправлено у версії 1.9.6. Випуски до 1.9 потрібно перенести на виправлену версію.

• CVE-2026-20232 — збережена міжсайтова підробка запитів (stored XSS), CVSS 5.4. Автентифікований віддалений користувач може впровадити скрипт, який виконуватиметься в контексті іншого користувача інтерфейсу адміністрування. Cisco вказала Rockwell Automation як організацію, що повідомила про проблему.
• CVE-2026-20177 — відмова в обслуговуванні через перевантаження площини керування, CVSS 5.3. Неавтентифікований зловмисник може створити надмірний потік ICMP-, SSH- або HTTP-трафіку, через що стануть недоступними графічний інтерфейс, SSH або API. Пересилання даних при цьому не порушується. Цю проблему Cisco виявила під час внутрішнього тестування.

Для обох уразливостей Cisco не вказала workaround або відомі випадки зловмисного використання.

Packaged CCE та Unified CCE — CVE-2026-20314

Це автентифікована віддалена уразливість Server-Side Request Forgery (SSRF) з оцінкою CVSS 5.0. Спеціально сформовані HTTP-запити можуть змусити уражений сервер надсилати довільні мережеві запити. Виправлення міститься у версії 15.0(1)ES202607; випуски до 15.0 потрібно перенести на виправлену версію.

Cisco вказала Hesham Ahmed із Spark Professional Services як дослідника, який повідомив про проблему, і заявила про відсутність workaround та відомої експлуатації.

Що адміністраторам потрібно зробити

1. Перевірити інвентаризацію продуктів і версій. Зіставте встановлені версії Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 і CCE з діапазонами, зазначеними Cisco.
2. Насамперед перевірити компоненти, доступні без автентифікації. Особливої уваги потребують критичні уразливості Crosswork і CVE-2026-20320 у BroadWorks.
3. Встановити відповідні виправлені версії. Основні цілі — Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 або 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 або 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 і CCE 15.0(1)ES202607. Для RoomOS потрібно обрати випуск відповідно до моделі розгортання.
4. Оновити всі необхідні компоненти Secure Workload. Для локальних інсталяцій Cisco окремо називає Cluster, Agent і Connector.
5. Стежити за новими даними про експлуатацію. Формулювання Cisco «відомої експлуатації немає» описує ситуацію на момент розкриття, але не гарантує, що уразливості не використовуватимуть у майбутньому.

Практичний висновок простий: для цих проблем не вказано обхідних рішень, а найнебезпечніші з них стосуються систем керування мережами, контролю робочих навантажень і комунікаційної інфраструктури. Організаціям варто перевірити версії та запланувати встановлення оновлень Cisco, не покладаючись лише на відсутність повідомлень про активні атаки.

Crosswork: чотири критичні уразливості

Оновлення безпеки охоплює Cisco Crosswork Data Gateway, Crosswork Network Controller і Crosswork Planning версій 7.2.1 та попередніх. Користувачам потрібно оновити ці компоненти до 7.2.1-SP.

До випуску увійшли такі CVE:

• CVE-2026-20030 — SQL-ін’єкція, CVSS 10.0.
• CVE-2026-20357 — відсутність автентифікації для критично важливої функції, CVSS 10.0.
• CVE-2026-20358 — зовнішнє керування файловою системою, CVSS 10.0.
• CVE-2026-20359 — недостатній захист облікових даних, CVSS 9.9.

Cisco виявила ці проблеми під час внутрішнього тестування, зокрема із залученням так званих frontier AI models — передових моделей штучного інтелекту. Компанія не повідомила про відому зловмисну експлуатацію та не запропонувала тимчасового способу захисту.

Поєднання доступу до критичних функцій без автентифікації, SQL-ін’єкції, контролю файлової системи й можливого розкриття облікових даних створює особливо серйозний ризик для організацій, де Crosswork доступний із мережі або підключений до систем із чутливою інфраструктурою. Водночас оцінка CVSS описує потенційний вплив уразливості, але сама по собі не доводить, що її вже використовують у реальних атаках.

Secure Workload: потрібно оновити всі відповідні компоненти

Уразливості зачіпають хмарні та локальні розгортання Cisco Secure Workload. Для версії 3.10 і попередніх Cisco вказує виправлення 3.10.9.1, а для гілки 4.0 — 4.0.4.16. У локальних інсталяціях потрібно оновити всі відповідні компоненти Cluster, Agent і Connector. Cisco зазначає, що хмарний Cluster уже оновлено.

П’ять уразливостей мають такі ідентифікатори:

• CVE-2026-20231 — ін’єкція команд, команд операційної системи або аргументів, CVSS 9.9.
• CVE-2026-20315 — некоректний контроль доступу, CVSS 10.0.
• CVE-2026-20317 — некоректна автентифікація, CVSS 10.0.
• CVE-2026-20318 — некоректна перевірка введених даних, зокрема проблеми класу path traversal і зовнішнього керування шляхами, CVSS 9.6.
• CVE-2026-20319 — переповнення буфера або запис за межами дозволеної області пам’яті, CVSS 7.5.

Остання проблема має високий, а не критичний рівень. Інші чотири CVE у Secure Workload класифіковані як критичні за наведеними оцінками CVSS. Cisco пов’язала виявлення цих проблем із внутрішніми процедурами тестування, повідомила про відсутність відомої експлуатації та не надала workaround.

BroadWorks: віддалена XXE-атака без автентифікації

CVE-2026-20320 стосується XML-парсера Open Client Interface у Cisco BroadWorks. Це уразливість високого рівня — CVSS 7.5, — яку можна експлуатувати віддалено без автентифікації. Оскільки обробка зовнішніх XML-сутностей увімкнена за замовчуванням, спеціально сформоване повідомлення, надіслане до сервісу OCI-P, може розкрити конфігураційні дані та файли, доступні користувачу BroadWorks.

Проблема зачіпає такі компоненти:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Уразливими є випуски до RI.2026.07, а необхідним виправленням є RI.2026.07. Обхідного рішення немає. Cisco вказала дослідника Sandesh M. Gawai як автора повідомлення про проблему та заявила, що не знала про її публічну експлуатацію на момент розкриття.

Через відсутність вимоги до автентифікації й можливість віддаленого доступу через OCI-P операторам BroadWorks варто невідкладно перевірити версію системи та розгорнути патч. Водночас наявні дані не підтверджують, що уразливість уже активно використовують у атаках.

П’ять уразливостей середньої тяжкості в інших продуктах Cisco

Решта проблем стосується Unified Intelligence Center, RoomOS, комутаторів Industrial Ethernet 1000 Series і Packaged Contact Center Enterprise.

Unified Intelligence Center — CVE-2026-20327

Це автентифікована локальна blind SQL-ін’єкція з оцінкою CVSS 6.5. Користувач із дійсним обліковим записом може через вебінтерфейс адміністрування прочитати дані з внутрішньої бази. Виправлення доступні у версіях 12.6(2) ES08 і 15.0(1) SU2. Випуски, старші за 12.6, потрібно перенести на підтримувану виправлену версію.

Cisco вказала дослідника Hesham Ahmed із Spark Professional Services і повідомила, що workaround та відома зловмисна експлуатація відсутні.

RoomOS — CVE-2026-20302

Уразливість у стеку USB-драйвера RoomOS має оцінку CVSS 6.1. Для експлуатації потрібен фізичний доступ до USB, однак успішна атака може дати змогу виконати довільний код із правами root.

Для локальних розгортань Cisco перелічує виправлення 11.32.7.0 і 26.7.2.2. Для хмарних розгортань — 11.40.1.1 і 26.7.1.12. Cisco подякувала за виявлення Jean-Michel Huguet із NATO Cyber Security Centre та повідомила про відсутність відомої експлуатації й workaround.

Комутатори Industrial Ethernet 1000

Обидві уразливості виправлено у версії 1.9.6. Випуски до 1.9 потрібно перенести на виправлену версію.

• CVE-2026-20232 — збережена міжсайтова підробка запитів (stored XSS), CVSS 5.4. Автентифікований віддалений користувач може впровадити скрипт, який виконуватиметься в контексті іншого користувача інтерфейсу адміністрування. Cisco вказала Rockwell Automation як організацію, що повідомила про проблему.
• CVE-2026-20177 — відмова в обслуговуванні через перевантаження площини керування, CVSS 5.3. Неавтентифікований зловмисник може створити надмірний потік ICMP-, SSH- або HTTP-трафіку, через що стануть недоступними графічний інтерфейс, SSH або API. Пересилання даних при цьому не порушується. Цю проблему Cisco виявила під час внутрішнього тестування.

Для обох уразливостей Cisco не вказала workaround або відомі випадки зловмисного використання.

Packaged CCE та Unified CCE — CVE-2026-20314

Це автентифікована віддалена уразливість Server-Side Request Forgery (SSRF) з оцінкою CVSS 5.0. Спеціально сформовані HTTP-запити можуть змусити уражений сервер надсилати довільні мережеві запити. Виправлення міститься у версії 15.0(1)ES202607; випуски до 15.0 потрібно перенести на виправлену версію.

Cisco вказала Hesham Ahmed із Spark Professional Services як дослідника, який повідомив про проблему, і заявила про відсутність workaround та відомої експлуатації.

Що адміністраторам потрібно зробити

1. Перевірити інвентаризацію продуктів і версій. Зіставте встановлені версії Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 і CCE з діапазонами, зазначеними Cisco.
2. Насамперед перевірити компоненти, доступні без автентифікації. Особливої уваги потребують критичні уразливості Crosswork і CVE-2026-20320 у BroadWorks.
3. Встановити відповідні виправлені версії. Основні цілі — Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 або 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 або 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 і CCE 15.0(1)ES202607. Для RoomOS потрібно обрати випуск відповідно до моделі розгортання.
4. Оновити всі необхідні компоненти Secure Workload. Для локальних інсталяцій Cisco окремо називає Cluster, Agent і Connector.
5. Стежити за новими даними про експлуатацію. Формулювання Cisco «відомої експлуатації немає» описує ситуацію на момент розкриття, але не гарантує, що уразливості не використовуватимуть у майбутньому.

Практичний висновок простий: для цих проблем не вказано обхідних рішень, а найнебезпечніші з них стосуються систем керування мережами, контролю робочих навантажень і комунікаційної інфраструктури. Організаціям варто перевірити версії та запланувати встановлення оновлень Cisco, не покладаючись лише на відсутність повідомлень про активні атаки.