Cisco corregge falle CVSS 10 in Secure Workload, Crosswork e reti industriali

🛡️ Executive Summary

• Secure Workload e Crosswork ricevono release di hardening che correggono vulnerabilità fino a CVSS 10, senza workaround e senza exploit attivi conosciuti.
• Industrial Ethernet 1000, Contact Center e Unified Intelligence Center correggono XSS, DoS, SSRF e SQL injection con aggiornamenti software obbligatori.
• BroadWorks espone file tramite XXE, mentre RoomOS consente a chi possiede accesso fisico USB di eseguire codice arbitrario con privilegi root.

Cisco pubblica un nuovo ciclo di sicurezza di agosto 2026 che coinvolge piattaforme cloud, orchestrazione di rete, infrastrutture industriali, contact center e sistemi di collaborazione. I problemi più gravi riguardano Secure Workload e Crosswork, dove le release di hardening correggono gruppi di vulnerabilità capaci di raggiungere CVSS 10.0. A queste si aggiungono falle indipendenti nei Cisco Industrial Ethernet 1000, in Packaged e Unified Contact Center Enterprise, Unified Intelligence Center, RoomOS e BroadWorks. Cisco non segnala sfruttamento attivo delle vulnerabilità pubblicate il 19 agosto 2026, ma nella maggior parte dei casi non esistono workaround: la mitigazione completa richiede quindi l’installazione delle versioni corrette.

Secure Workload corregge cinque classi di vulnerabilità fino a CVSS 10

Il pacchetto più critico riguarda Cisco Secure Workload, interessato da cinque CVE che raggruppano più vulnerabilità individuate durante una revisione interna. Nell’advisory ufficiale dedicato alla release di hardening di Secure Workload Cisco assegna CVSS 10.0 sia a CVE-2026-20315, relativa a controlli di accesso insufficienti, sia a CVE-2026-20317, che raccoglie problemi di autenticazione mancante o aggirabile. CVE-2026-20231 raggiunge 9,9 e comprende command, argument e OS injection, mentre CVE-2026-20318 arriva a 9,6 per errori di validazione degli input, path traversal e controllo esterno dei percorsi. Chiude il gruppo CVE-2026-20319, CVSS 7,5, legata a operazioni fuori dai limiti dei buffer. Sono interessati sia i deployment SaaS sia quelli on-premises, indipendentemente dalla configurazione. Le release 3.10 e precedenti devono passare almeno alla 3.10.9.1, mentre il ramo 4.0 viene corretto nella 4.0.4.16. Negli ambienti on-premises devono essere aggiornati cluster, agent e connector; nei servizi SaaS Cisco ha già aggiornato il cluster e resta ai clienti l’adeguamento di agent e connector. L’aspetto interessante è anche il metodo di discovery: Cisco dichiara che il controllo interno ha utilizzato i processi di test tradizionali insieme a modelli AI frontier, lo stesso approccio già osservato nel precedente ciclo Cisco che aveva corretto vulnerabilità in IOS XE, SD-WAN, CIMC e RoomOS.

Crosswork espone autenticazione, filesystem, SQL e credenziali

Un secondo blocco critico colpisce Cisco Crosswork Data Gateway, Crosswork Network Controller e Crosswork Planning. L’hardening release di Crosswork pubblicata da Cisco comprende quattro CVE, tre delle quali raggiungono CVSS 10.0. CVE-2026-20030 riguarda SQL injection, CVE-2026-20357 l’assenza di autenticazione per funzioni critiche e CVE-2026-20358 il controllo esterno del filesystem; CVE-2026-20359, valutata 9,9, copre invece credenziali insufficientemente protette. Tutte le versioni fino alla 7.2.1 devono migrare alla 7.2.1-SP, perché Cisco non fornisce mitigazioni alternative. Anche queste falle sono state individuate attraverso test interni che hanno combinato strumenti esistenti e modelli AI frontier e non risultano sfruttate pubblicamente. Il rischio operativo è elevato perché Crosswork occupa una posizione centrale nella gestione e nell’automazione delle infrastrutture di rete: un errore di autenticazione o di controllo del filesystem su una piattaforma di orchestrazione assume un peso molto diverso rispetto alla stessa classe di problema su un servizio periferico. La centralizzazione delle funzioni amministrative aveva già mostrato i propri rischi con Cisco Secure FMC e la credenziale statica sfruttata attivamente prima dell’inserimento nel catalogo CISA KEV, anche se Cisco precisa che per le nuove vulnerabilità Crosswork non esistono evidenze di exploitation.

Industrial Ethernet 1000 soffre di XSS persistente e DoS remoto

Gli apparati Cisco Industrial Ethernet 1000 Series ricevono due correzioni separate, particolarmente rilevanti perché questi switch vengono utilizzati in ambienti OT e industriali. CVE-2026-20232, descritta nell’advisory sullo stored cross-site scripting degli IE 1000, ha un punteggio CVSS 5,4 e richiede credenziali valide: un utente remoto autenticato può inserire codice malevolo in specifiche pagine dell’interfaccia web e farlo eseguire nel browser di un altro utente. Più direttamente raggiungibile è CVE-2026-20177, CVSS 5,3, per la quale l’advisory Cisco dedicato al denial of service descrive un vettore remoto privo di autenticazione. Un’elevata quantità di traffico ICMP, SSH o HTTP può saturare la CPU del dispositivo e rendere irraggiungibili interfaccia web, SSH e API. Il traffico dati che attraversa lo switch continua però a essere inoltrato, quindi l’impatto riguarda il management plane e non determina automaticamente l’interruzione della rete industriale. Entrambe le falle vengono corrette con IE 1000 release 1.9.6, mentre le versioni precedenti alla 1.9 devono migrare a un ramo supportato. Il nuovo ciclo prosegue il lavoro già svolto da Cisco sulle vulnerabilità di infrastruttura e gestione corrette tra ISE e altre piattaforme enterprise e conferma che anche vulnerabilità con CVSS medio richiedono attenzione particolare quando interessano dispositivi inseriti in reti OT.

Contact Center espone SSRF e database tramite SQL injection

Il settore contact center riceve due correzioni differenti. CVE-2026-20314, CVSS 5,0, coinvolge Cisco Packaged Contact Center Enterprise e Unified Contact Center Enterprise e deriva da una validazione insufficiente di specifiche richieste HTTP. Secondo l’advisory Cisco sull’SSRF di Packaged CCE e Unified CCE, un aggressore remoto autenticato può inviare una richiesta costruita appositamente e costringere il sistema vulnerabile a effettuare richieste di rete arbitrarie originate dal dispositivo stesso. Non esistono workaround: per il ramo 15.0 la prima release corretta è 15.0(1)ES202607, mentre le versioni precedenti devono migrare. Cisco Unified Intelligence Center è invece interessato da CVE-2026-20327, una blind SQL injection CVSS 6,5 che richiede credenziali valide e permette di leggere il contenuto del database interno attraverso richieste manipolate alla web management interface. L’advisory ufficiale sulla SQL injection di Unified Intelligence Center indica come corrette 12.6(2) ES08 e 15.0(1) SU2, mentre le release antecedenti alla 12.6 devono essere sostituite. Cisco non segnala utilizzo malevolo delle due vulnerabilità e attribuisce entrambe le segnalazioni a Hesham Ahmed di Spark Professional Services.

RoomOS permette codice root da USB mentre BroadWorks espone file sensibili

La vulnerabilità CVE-2026-20302 di Cisco RoomOS richiede accesso fisico, ma l’impatto tecnico è elevato. L’advisory Cisco sullo stack overflow del driver USB descrive un errore nei controlli sui limiti dei dati elaborati attraverso USB: collegando un dispositivo malevolo, un attaccante locale non autenticato può provocare un buffer overflow ed eseguire codice arbitrario con privilegi root. La falla, CVSS 6,1, è stata segnalata da Jean-Michel Huguet del NATO Cyber Security Centre. Per RoomOS 26 le prime versioni corrette sono 26.7.2.2 in modalità on-premises e 26.7.1.12 negli ambienti cloud-aware; per il ramo 11 sono indicate rispettivamente 11.32.7.0 e 11.40.1.1. Cisco aveva già affrontato una diversa superficie RoomOS nel precedente pacchetto di sicurezza dedicato anche alle piattaforme di videoconferenza, ma la nuova CVE riguarda specificamente il driver USB e non deve essere confusa con i problemi di logging corretti in precedenza. Sul fronte delle telecomunicazioni, CVE-2026-20320 colpisce invece BroadWorks con una out-of-band blind XXE valutata CVSS 7,5. Nell’advisory BroadWorks sull’XML External Entity injection Cisco spiega che il parser XML dell’Open Client Interface consente per impostazione predefinita la risoluzione delle entità esterne: una richiesta OCI-P costruita appositamente permette quindi a un attaccante remoto non autenticato di leggere file sensibili con i privilegi dell’utente BroadWorks. Sono interessati Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform, con RI.2026.07 indicata come release corretta.

Nessun exploit noto ma l’assenza di workaround rende le patch prioritarie

Il tratto comune dell’ondata pubblicata il 19 agosto è l’assenza di evidenze pubbliche di sfruttamento per tutte le vulnerabilità descritte, situazione differente dalla falla Cisco FMC già sfruttata e inserita nel KEV. Questo non riduce però l’urgenza dei due pacchetti CVSS 10.0, soprattutto perché Cisco non mette a disposizione workaround per Secure Workload, Crosswork, Industrial Ethernet, Contact Center, Unified Intelligence Center, RoomOS o BroadWorks. Gli amministratori devono quindi partire dall’inventario delle versioni effettivamente installate, individuare i sistemi di gestione raggiungibili da reti non fidate e programmare gli aggiornamenti secondo il ruolo operativo dei prodotti. Secure Workload e Crosswork hanno la priorità per l’ampiezza delle classi corrette e per la centralità delle piattaforme; BroadWorks richiede attenzione per il vettore remoto pre-auth, mentre sugli IE 1000 è necessario impedire che il piano di gestione sia raggiungibile inutilmente da segmenti esterni. Il ciclo di agosto conferma inoltre una trasformazione ormai evidente nella sicurezza Cisco: i modelli AI frontier vengono utilizzati anche nelle revisioni interne del codice, contribuendo a individuare gruppi di vulnerabilità prima che diventino necessariamente tecniche operative nelle mani degli attaccanti.