Cisco corregge falle critiche in IOS XE, SD-WAN, CIMC e RoomOS

🛡️ Executive Summary

• Le release di hardening correggono vulnerabilità con gravità fino a CVSS 9,8 in IOS XE e 9,9 in Catalyst SD-WAN.
• Falle separate permettono accesso root in Cisco IMC, riavvio dei dispositivi tramite BEEP, XMCP e SNMP e blocco delle interfacce web.
• RoomOS e SD-WAN Manager espongono credenziali nei log, mentre Cisco TS Agent può applicare le regole firewall di un altro utente.

Cisco ha pubblicato un ampio pacchetto di aggiornamenti per IOS XE, Catalyst SD-WAN, Integrated Management Controller, RoomOS e Terminal Services Agent. Le vulnerabilità più gravi raggiungono punteggi CVSS di 9,8 e 9,9 e comprendono errori di controllo degli accessi, command injection, path traversal e gestione insicura dei file. Altri difetti permettono di riavviare router e switch attraverso pacchetti BEEP, XMCP o SNMP, bloccare l’interfaccia web, leggere credenziali dai log e aggirare regole firewall associate agli utenti. Cisco non segnala sfruttamenti attivi, ma non offre workaround per la maggior parte dei problemi e richiede l’installazione delle release corrette.

IOS XE riceve una release di hardening con sette classi di vulnerabilità

La nuova release di hardening di Cisco IOS XE raccoglie vulnerabilità individuate durante una revisione interna condotta attraverso i processi di test esistenti e con il supporto di modelli AI avanzati. Cisco ha aggregato i problemi in sette gruppi, assegnando un CVE a ciascuna classe CWE: CVE-2026-20267 riguarda controlli di accesso insufficienti e raggiunge CVSS 9,0; CVE-2026-20268 copre errori nei limiti dei buffer; CVE-2026-20269 problemi nella gestione del ciclo di vita delle risorse; CVE-2026-20270 calcoli errati e conversioni numeriche; CVE-2026-20271 flussi di controllo insufficienti; CVE-2026-20272 command, argument e OS injection con gravità massima 9,8; CVE-2026-20273 validazione insufficiente, path traversal e controllo di percorsi esterni. I difetti interessano IOS XE in modalità autonoma e controller indipendentemente dalla configurazione, nelle famiglie 17.9, 17.12, 17.15, 17.18 e 26.1 analizzate da Cisco. Le prime versioni corrette sono rispettivamente 17.9.10, 17.12.8, 17.15.6, 17.18.4 o 17.18.4a e 26.1.2. L’assenza di workaround rende l’aggiornamento l’unica soluzione completa. Il pacchetto amplia il quadro già emerso quando Cisco aveva corretto tredici vulnerabilità in IOS XE con rischi DoS e bypass di Secure Boot e conferma che router e switch devono essere valutati sulla base della release effettivamente installata, non soltanto delle funzionalità abilitate.

Catalyst SD-WAN corregge cinque gruppi di falle fino a CVSS 9,9

La release di hardening dedicata a Catalyst SD-WAN corregge cinque classi di vulnerabilità che interessano tutti i deployment: on-premises, Cloud-Pro, cloud gestito da Cisco e ambienti governativi FedRAMP. CVE-2026-20303 riguarda la validazione insufficiente degli input, CVE-2026-20304 i controlli di accesso, mentre CVE-2026-20310 interessa la risoluzione impropria dei collegamenti prima dell’accesso ai file; tutte raggiungono un punteggio massimo CVSS 9,9. Completano il pacchetto CVE-2026-20312, relativa alla memorizzazione in chiaro di informazioni sensibili, e CVE-2026-20313, causata da una validazione errata delle quantità indicate nell’input. Cisco non segnala exploit attivi e precisa che anche queste vulnerabilità sono state individuate attraverso test interni e modelli AI avanzati. Le release corrette comprendono 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 e 26.1.2, mentre il servizio cloud gestito è stato aggiornato alla versione 20.15.602 senza richiedere azioni ai clienti. L’urgenza deriva dal ruolo centrale del piano di orchestrazione, già evidenziato dallo zero-day Cisco SD-WAN capace di portare gli attaccanti ai privilegi root e dalle precedenti vulnerabilità critiche che esponevano l’autenticazione e le API SD-WAN.

BEEP, XMCP, SNMP e Web UI possono bloccare router e switch

Tre vulnerabilità ad alta gravità permettono di provocare il riavvio inatteso dei dispositivi Cisco attraverso servizi di rete configurati. CVE-2026-20263, descritta nell’advisory sul protocollo BEEP di IOS XE, raggiunge CVSS 8,6 e consente a un attaccante remoto non autenticato di inviare una richiesta BEEP SOAP costruita appositamente e causare un denial of service quando la funzione NETCONF over BEEP è attiva. CVE-2026-20301, anch’essa valutata 8,6, interessa invece il protocollo XMCP, chiamato anche External Client Protocol, su IOS e IOS XE: un pacchetto malformato può riavviare il dispositivo senza che l’attaccante conosca lo username del client. CVE-2026-20124, con punteggio 7,7, coinvolge tutte le versioni di SNMP e richiede il possesso di una community string SNMPv1 o v2c oppure credenziali SNMPv3 valide; Cisco propone come mitigazione temporanea l’esclusione degli OID interessati attraverso una view SNMP, avvertendo che la modifica può ridurre le funzioni di discovery e inventario. Due falle ulteriori colpiscono la gestione web: CVE-2026-20311 permette a un utente remoto con privilegi ridotti di autenticarsi con un certificato PIV malformato e causare il riavvio del dispositivo, mentre CVE-2026-20308 rende non responsiva l’interfaccia HTTP o HTTPS attraverso input appositamente costruiti. Nessuno di questi problemi risulta sfruttato pubblicamente, ma l’assenza di workaround per BEEP, XMCP e Web UI impone l’uso del Cisco Software Checker per individuare la prima release che corregge simultaneamente tutte le falle applicabili.

Cisco IMC permette comandi root e attacchi XSS

Le vulnerabilità più rilevanti fuori da IOS XE interessano Cisco Integrated Management Controller, componente che amministra fuori banda server UCS, sistemi ENCS, uCPE Catalyst 8300 e numerose appliance basate su server C-Series. L’advisory sulle argument injection di Cisco IMC descrive CVE-2026-20200, con punteggio CVSS 8,8, e CVE-2026-20288, valutata 6,5 ma classificata High per le conseguenze dell’accesso root. La prima consente a un utente remoto con privilegi bassi di inserire input costruiti nell’interfaccia web ed eseguire comandi arbitrari sul sistema operativo sottostante come root; la seconda richiede privilegi amministrativi, ma conduce allo stesso risultato. I difetti coinvolgono server UCS C-Series M5, M6, M7 e M8 in modalità standalone, UCS E-Series e S-Series, sistemi ENCS e diverse appliance, tra cui Catalyst Center, APIC, Secure Firewall Management Center, ISE SNS, Nexus Dashboard, Expressway e Cyber Vision Center quando espongono l’interfaccia IMC vulnerabile. CVE-2026-20198 aggiunge una vulnerabilità cross-site scripting che permette a un amministratore remoto di indurre un altro utente a eseguire codice JavaScript nel browser attraverso un collegamento malevolo. Non esistono workaround e le versioni corrette cambiano in base alla famiglia hardware, rendendo necessaria una verifica puntuale del firmware. Il rischio per UCS e appliance amministrative era già emerso con le dieci vulnerabilità Cisco che avevano interessato piattaforme cloud, UCS e UCCX.

RoomOS e SD-WAN Manager registrano credenziali in chiaro

CVE-2026-20289 interessa il sottosistema di logging di Cisco RoomOS e permette a un utente locale autenticato con bassi privilegi di leggere informazioni sensibili, comprese credenziali di accesso, quando viene abilitata la registrazione estesa. L’opzione non è attiva per impostazione predefinita, ma una volta abilitata può trasferire dati riservati nei log raccolti dal dispositivo. L’advisory RoomOS indica come corrette le versioni 26.7.2.2, 11.39.1.3 per gli ambienti cloud-aware e la release cloud di giugno 2026, mentre per alcune installazioni on-premises della generazione 11 la soluzione è indicata in una futura versione. CVE-2026-20294 colpisce invece Catalyst SD-WAN Manager in tutti i modelli di deployment: template non inclusi nella allowlist di cifratura possono inserire nei log locali o remoti credenziali di autenticazione in chiaro, accessibili a un utente remoto con privilegi limitati. La falla è corretta nelle release 20.9.10, 20.12.8, 20.15.6, 20.18.4, 26.1.2 e 26.2.1. Entrambi i problemi mostrano che il logging può diventare una fonte di compromissione quando registra segreti destinati all’autenticazione. La superficie RoomOS era già stata affrontata nell’analisi delle vulnerabilità Cisco che coinvolgevano ISE e piattaforme per videoconferenza.

Terminal Services Agent può applicare le regole firewall di un altro utente

CVE-2026-20028 riguarda il driver di rete di Cisco Terminal Services Agent e deriva da una mappatura errata tra connessioni e account. Un utente remoto autenticato può inviare traffico costruito appositamente e ottenere le regole firewall associate a un altro account presente sul sistema, aggirando le limitazioni previste per la propria identità. Il problema non permette direttamente di eseguire codice o leggere informazioni, ma modifica il modo in cui il traffico viene classificato e autorizzato, con un impatto particolarmente rilevante negli ambienti condivisi basati su Remote Desktop Services o Citrix. L’avviso Cisco dedicato al bypass delle regole firewall indica la versione 1.4.3 come prima release corretta e non offre mitigazioni alternative. Cisco dichiara di non essere a conoscenza di annunci pubblici o uso malevolo delle vulnerabilità pubblicate il 5 agosto 2026, ma la combinazione tra accessi root, disclosure di credenziali e numerosi vettori DoS rende necessario programmare un aggiornamento coordinato. Gli amministratori devono partire dalle release di hardening IOS XE e SD-WAN, verificare i servizi esposti e successivamente aggiornare IMC, RoomOS e TS Agent, evitando di trattare i dodici advisory come interventi indipendenti su sistemi privi di relazioni operative.