Cisco corregge 13 vulnerabilità in IOS XE con rischi DoS e bypass Secure Boot

Non è un semplice aggiornamento, è una corsa contro il tempo per blindare il perimetro della rete. Cisco ha appena rilasciato un pacchetto massiccio di 13 advisory di sicurezza per il software IOS XE, il sistema nervoso centrale degli switch Catalyst e dei controller wireless di migliaia di aziende. Dalle falle che permettono di mandare in crash l’intera rete Wi-Fi aziendale con un singolo pacchetto malformato, fino all’inquietante bypass del Secure Boot che mette a nudo la “Root of Trust” dell’hardware, la minaccia è reale e immediata. Senza soluzioni temporanee disponibili per la maggior parte dei problemi, gli amministratori di sistema sono chiamati a un patching forzato: l’unica difesa contro l’esaurimento della memoria e la compromissione dei tunnel VPN è l’installazione delle nuove release. Le porte del tuo data center potrebbero essere socchiuse: ecco la mappa delle 13 falle da chiudere subito.

Cisco IOS XE espone bypass Secure Boot su switch Catalyst e rugged

Una delle vulnerabilità più critiche riguarda il bootloader del software Cisco IOS XE su switch Catalyst 9200, ESS9300 Embedded e serie rugged IE. Un attaccante con accesso fisico o privilegi elevati può aggirare i controlli di integrità del Secure Boot. Questo scenario consente il caricamento di immagini non firmate, compromettendo la root of trust del dispositivo. La rottura della catena di fiducia rappresenta un rischio elevato in contesti enterprise, dove la sicurezza del firmware è fondamentale per prevenire compromissioni persistenti. Cisco ha rilasciato versioni aggiornate che ripristinano la validazione crittografica durante il processo di avvio. Gli amministratori devono verificare le release installate e aggiornare immediatamente per evitare attacchi supply chain o manomissioni locali.

Controller wireless Catalyst CW9800 vulnerabili a denial of service remoto

Il software Cisco IOS XE Wireless Controller per la serie Catalyst CW9800 presenta una vulnerabilità nel parsing dei pacchetti CAPWAP. Un attaccante remoto non autenticato può inviare traffico malformato e causare il riavvio del controller. Il risultato è un denial of service con impatto diretto sulla continuità della rete wireless. Il punteggio CVSS 8.6 indica una criticità elevata, soprattutto in ambienti con infrastrutture Wi-Fi centralizzate. Il riavvio improvviso del controller può interrompere connessioni aziendali, servizi VoIP e accesso a sistemi cloud. Cisco ha distribuito patch specifiche che correggono il parsing dei pacchetti e prevengono il crash del sistema, eliminando il vettore di attacco.

Server HTTP in IOS e IOS XE causa riavvii imprevisti

Una vulnerabilità nel feature HTTP Server presente in Cisco IOS e nelle release IOS XE 3E consente a un utente autenticato di inviare richieste malformate. Questo comportamento provoca il riavvio del dispositivo e genera un denial of service. Il problema deriva da una validazione insufficiente degli input HTTP, che permette l’elaborazione di richieste non conformi. In ambienti dove il server HTTP è attivo per la gestione remota, questa falla aumenta la superficie di attacco. Cisco raccomanda di disabilitare temporaneamente la funzionalità se non necessaria e applicare le patch disponibili per prevenire interruzioni operative.

Gestione TLS difettosa porta a memory exhaustion

Il software Cisco IOS XE presenta una vulnerabilità nella gestione delle connessioni TLS, sfruttabile da un attaccante sulla stessa rete. L’attacco consente di esaurire la memoria del dispositivo, provocando riavvii forzati e denial of service prolungati. Questa condizione colpisce configurazioni che utilizzano Local EAP o altre funzionalità basate su TLS. L’esaurimento delle risorse rappresenta una tecnica comune negli attacchi contro infrastrutture di rete, poiché non richiede exploit complessi ma sfrutta inefficienze nella gestione delle sessioni. Le patch rilasciate da Cisco migliorano l’allocazione della memoria e limitano il consumo anomalo di risorse.

Multiple falle DoS colpiscono SCP DHCP Snooping e maintenance mode

Cisco segnala ulteriori vulnerabilità denial of service distribuite su diverse componenti di IOS XE. Il comando di maintenance mode può causare crash del sistema se utilizzato in condizioni specifiche da utenti autenticati. Il server Secure Copy Protocol (SCP) consente a un attaccante remoto di provocare il riavvio del dispositivo attraverso richieste malevole. Un’altra vulnerabilità interessa il DHCP Snooping sugli switch Catalyst 9000, causando leakage tra VLAN e incremento anomalo dell’utilizzo della CPU. Queste problematiche evidenziano come attacchi mirati possano sfruttare servizi di rete legittimi per saturare le risorse e interrompere il traffico. Gli aggiornamenti correggono i meccanismi di gestione interna e migliorano la resilienza complessiva del sistema.

Secure Channel for Meraki espone dati sensibili

Una vulnerabilità di information disclosure nel Secure Channel for Meraki consente a un attaccante on-path di intercettare dati confidenziali. Il problema riguarda il tunnel di configurazione tra dispositivi e dashboard, elemento critico per la gestione centralizzata. L’accesso a queste informazioni può compromettere configurazioni di rete, credenziali e parametri sensibili. Cisco ha introdotto miglioramenti nel protocollo di comunicazione per rafforzare l’isolamento del canale e prevenire intercettazioni. Le organizzazioni che utilizzano ambienti ibridi tra IOS XE e Meraki devono aggiornare rapidamente per mantenere la riservatezza dei dati di gestione.

Ambiente IOx vulnerabile a CRLF injection e XSS persistente

Il sistema di hosting applicativo IOx presenta vulnerabilità di CRLF injection e stored cross-site scripting. Un attaccante remoto può manipolare le risposte HTTP o eseguire script malevoli nel contesto di un utente autenticato. Queste falle interessano ambienti in cui IOx è abilitato per l’esecuzione di applicazioni edge. L’impatto include alterazione dei dati, compromissione delle sessioni e potenziale esecuzione di codice non autorizzato. Cisco ha corretto entrambe le vulnerabilità migliorando la sanitizzazione degli input e la gestione delle richieste HTTP.

Vulnerabilità IKEv2 impatta firewall e VPN enterprise

Il parsing dei pacchetti IKEv2 nei software Cisco IOS, IOS XE, Secure Firewall ASA e Threat Defense presenta una vulnerabilità che causa memory leak. Quando la funzione VPN è attiva, un attaccante remoto può provocare denial of service esaurendo le risorse del dispositivo. Questa falla ha implicazioni dirette sulla sicurezza perimetrale e sulla disponibilità delle connessioni VPN, fondamentali per ambienti aziendali distribuiti. Cisco ha rilasciato aggiornamenti che correggono la gestione dei pacchetti IKEv2 e prevengono l’esaurimento della memoria. Gli amministratori devono dare priorità a questa patch per evitare interruzioni dei servizi critici.

Catalyst SD WAN Manager vulnerabile a cross site scripting

Il prodotto Catalyst SD-WAN Manager vManage include una vulnerabilità di cross-site scripting che consente l’esecuzione di codice arbitrario nel browser di un utente autenticato. Un attaccante remoto può sfruttare questa falla per compromettere sessioni amministrative e accedere a funzionalità sensibili. La gestione centralizzata delle reti SD-WAN rende questo tipo di vulnerabilità particolarmente pericoloso, poiché può fornire accesso a configurazioni distribuite su larga scala. Cisco ha aggiornato il sistema introducendo controlli più rigorosi sugli input e prevenendo l’iniezione di script.

Escalation privilegi tramite funzione Lobby Ambassador

Una vulnerabilità nella funzione Lobby Ambassador di Cisco IOS XE consente a utenti autenticati di ottenere privilegi elevati. L’attaccante può accedere a comandi riservati e modificare configurazioni di sistema. Questo tipo di escalation rappresenta una minaccia significativa in ambienti multi-utente, dove la separazione dei privilegi è fondamentale. Cisco ha corretto il problema rafforzando i controlli di autorizzazione e limitando l’accesso alle funzioni sensibili. Gli amministratori devono verificare l’utilizzo della feature e aggiornare i dispositivi interessati.

Aggiornamenti Cisco diventano prioritari per la sicurezza di rete

Cisco raccomanda l’uso del Software Checker per identificare le versioni vulnerabili e pianificare l’aggiornamento. La maggior parte delle vulnerabilità non dispone di mitigazioni temporanee, rendendo le patch l’unica soluzione efficace.

Bollettino di Sicurezza Infrastrutturale: Massima priorità ai controller wireless CW9800 esposti a vulnerabilità DoS critica (CVSS 8.6), seguiti da falle ad alto impatto sui Catalyst e sui sistemi VPN (ASA/Firepower) che possono causare interruzioni di servizio prolungate.

Le organizzazioni devono pianificare rollout controllati per ridurre l’impatto operativo, soprattutto in ambienti critici. Il bundle di advisory del 25 marzo 2026 evidenzia l’importanza di una gestione proattiva della sicurezza nelle infrastrutture di rete. L’aggiornamento continuo del software IOS XE diventa un elemento centrale nella strategia di difesa contro minacce sempre più sofisticate.