Cisco corregge Snort 3 ed Expressway: RCE, DoS e nuove patch di sicurezza

🛡️ Executive Summary

• Cisco concentra il ciclo di sicurezza del 21 ottobre 2026 su Snort 3, Expressway, Secure Client, Unified Communications e router ASR 9000, con quattordici advisory dedicati.
• Le segnalazioni comprendono esecuzione di comandi, esecuzione remota di codice, escalation dei privilegi, divulgazione di informazioni e condizioni di denial of service.
• La priorità amministrativa è confrontare prodotti e release effettivamente installati con gli advisory Cisco, distinguendo vulnerabilità dell’engine Snort, servizi esposti e componenti locali.

Cisco concentra quattordici advisory di sicurezza su alcuni dei componenti più importanti delle infrastrutture aziendali, dai sistemi firewall che utilizzano Snort 3 alle piattaforme Expressway, fino ai client di accesso remoto, ai servizi di comunicazione e ai router ASR 9000. La pubblicazione coordinata del 21 ottobre 2026 comprende vulnerabilità di remote code execution (RCE), escalation dei privilegi, accesso improprio alle risorse e denial of service (DoS), affiancate da aggiornamenti di rafforzamento della sicurezza. Il programma era stato anticipato dal Cisco Product Security Incident Response Team (PSIRT) il 14 ottobre, per consentire agli amministratori di preparare le finestre di manutenzione. Il problema riguarda prodotti con funzioni differenti: una vulnerabilità nel motore d’ispezione del traffico non produce necessariamente le stesse conseguenze di una falla in un gateway di collaborazione esposto a Internet o in un modulo installato sui computer aziendali.

Snort 3, vulnerabilità nei parser GTP, GRE, VBA e SMTP MIME

Il gruppo più numeroso di segnalazioni riguarda Snort 3, il motore di rilevamento e prevenzione delle intrusioni utilizzato nelle soluzioni Cisco e disponibile anche come progetto open source. Gli advisory individuano condizioni di denial of service nella gestione del traffico GTP, utilizzato nelle infrastrutture di telecomunicazione, e nell’elaborazione di pacchetti Generic Routing Encapsulation (GRE), protocollo impiegato per incapsulare traffico di rete. Ulteriori vulnerabilità interessano l’analisi di contenuti Visual Basic for Applications (VBA) e SMTP MIME, oltre a un gruppo di problemi DoS trattati in un bollettino cumulativo. Le relative segnalazioni Cisco riguardano GTP, GRE, VBA, SMTP MIME e altre vulnerabilità DoS. Il rischio generale riguarda l’interruzione dell’elaborazione o dell’ispezione del traffico, ma l’effetto preciso dipende dalla vulnerabilità e dalla configurazione dell’apparato. Un riavvio del processo Snort, per esempio, non equivale automaticamente alla caduta dell’intero firewall, anche se può compromettere temporaneamente la funzione di rilevamento. Cisco ha incluso anche un rilascio di security hardening dedicato a Snort 3, destinato a consolidare più interventi di sicurezza. Il ciclo richiama la precedente pubblicazione cumulativa di patch per ASA, FTD e FMC, dove la corretta identificazione del software in esecuzione rappresentava il primo passaggio per determinare l’esposizione.

Leggi anche: Cisco chiude una raffica di falle: RCE e bypass colpiscono NX-OS e APIC

Snort 3 open source, un problema nel control channel espone all’esecuzione di comandi

Una segnalazione distinta riguarda Open Source Snort 3 e la gestione del control channel socket, componente utilizzato per impartire istruzioni al processo attraverso un canale di controllo. Il bollettino Cisco sull’esecuzione arbitraria di comandi identifica un rischio differente rispetto alle condizioni DoS associate all’elaborazione del traffico: la possibilità che il controllo del socket si traduca nell’esecuzione di istruzioni non autorizzate. La portata effettiva dipende dai permessi del socket, dall’accessibilità del canale, dai privilegi del processo e dalle release interessate, elementi che devono essere verificati prima di qualificare la falla come sfruttabile da remoto o senza autenticazione. Questo distingue la sicurezza del control plane da quella del motore che analizza i pacchetti. Anche un sistema che ispeziona correttamente il traffico potrebbe infatti risultare esposto se un’interfaccia amministrativa non dispone di controlli sufficienti. Gli amministratori che integrano Snort in ambienti Linux o sviluppano appliance personalizzate devono quindi esaminare non soltanto gli aggiornamenti delle regole di rilevamento, ma anche la versione del software eseguibile, i permessi delle interfacce di controllo e i servizi che possono comunicare con esse. La criticità è particolarmente rilevante negli ambienti enterprise, dove il motore di sicurezza può condividere risorse con sistemi di automazione e gestione centralizzata.

Cisco Expressway, vulnerabilità RCE e divulgazione di informazioni

Il secondo fronte principale interessa Cisco Expressway Series, utilizzato per abilitare comunicazioni e collaborazione attraverso confini di rete differenti, anche attraverso le componenti Expressway-C ed Expressway-E. La pubblicazione comprende un advisory dedicato alla remote code execution, il cui identificativo richiama il tema delle credenziali statiche, un bollettino sulla divulgazione di informazioni e un aggiornamento di rafforzamento della sicurezza. La presenza di una falla RCE in una piattaforma destinata a interconnettere sistemi di comunicazione richiede particolare attenzione, perché un servizio raggiungibile attraverso reti esterne costituisce una superficie d’attacco diversa da quella dei componenti installati soltanto sui dispositivi aziendali. Non è però possibile stabilire dal solo titolo dell’advisory se l’esecuzione di codice richieda autenticazione, una configurazione specifica oppure determinate condizioni preliminari. Lo stesso vale per la divulgazione di informazioni, la cui rilevanza dipende dalla natura dei dati potenzialmente esposti. L’aggiornamento deve essere valutato insieme alle altre correzioni già installate, evitando di confondere la disponibilità di una nuova release con la conferma di compromissioni effettivamente avvenute. La necessità di proteggere le piattaforme di collaborazione emerge anche dai precedenti interventi Cisco sulle vulnerabilità nei prodotti Unified e nei servizi di comunicazione.

Cisco Secure Client e Unified Communications: privilegi locali e accessi impropri

Le segnalazioni coinvolgono anche Cisco Secure Client, attraverso una vulnerabilità di privilege escalation nel modulo Secure Firewall Posture, e Cisco Unified Communications Manager (CUCM), interessato da un problema di controllo degli accessi. Il bollettino Secure Client richiama il rischio che un componente incaricato di verificare lo stato di sicurezza di un endpoint possa consentire il superamento dei privilegi previsti, ma è necessario consultare i prerequisiti tecnici per stabilire quali autorizzazioni iniziali siano richieste. L’advisory CUCM affronta invece una vulnerabilità di improper access control, categoria che comprende l’applicazione incompleta delle restrizioni associate a utenti, risorse o funzionalità. A queste correzioni si aggiunge il security hardening di ottobre per i prodotti Cisco Unified Communications. La conseguenza amministrativa è la necessità di distinguere gli interventi richiesti sui client aziendali da quelli relativi ai server di comunicazione: aggiornare un gateway o un server CUCM non equivale a correggere automaticamente i moduli già distribuiti sui computer dei dipendenti. Il tema si collega alla precedente ondata di vulnerabilità Cisco ISE e FMC, con rischi di esecuzione di codice e accesso privilegiato, pur riguardando componenti e condizioni di sfruttamento differenti.

Continua con:

Cisco, SD-WAN nel KEV e ASA/FTD ampliano il rischio sulle infrastrutture edge

Fire Ant colpisce Cisco IOS XR e TACACS: router trasformati in piattaforme di spionaggio

Cisco ASR 9000, il rischio DoS sui router richiede verifiche sulle release IOS XR

Il quattordicesimo advisory riguarda Cisco IOS XR sui router ASR 9000 Series, per una condizione di denial of service associata al traffico IPv4 unicast. Il bollettino dedicato agli ASR 9000 interessa un’infrastruttura particolarmente sensibile per gli operatori di rete, perché i router di aggregazione gestiscono volumi elevati di traffico e possono rappresentare punti critici per la continuità delle comunicazioni. L’impatto preciso deve essere ricondotto alle release IOS XR, alle piattaforme e alle eventuali configurazioni indicate da Cisco, senza estendere automaticamente la vulnerabilità a ogni apparato della famiglia. La verifica dell’inventario è quindi più importante di una generica classificazione del rischio riferita al marchio Cisco. Gli amministratori devono distinguere apparati e componenti effettivamente interessati, consultare le versioni corrette e pianificare aggiornamenti che preservino la continuità operativa, soprattutto dove sono presenti sistemi ridondati o finestre di manutenzione limitate. La pubblicazione coordinata evidenzia un problema comune ai cinque ecosistemi coinvolti: le patch di sicurezza non riguardano soltanto la protezione da accessi non autorizzati, ma anche la disponibilità dei servizi di rete e la capacità degli strumenti difensivi di continuare a funzionare sotto carico o in presenza di traffico ostile. Per imprese, provider e pubbliche amministrazioni italiane che utilizzano questi prodotti, la priorità consiste nel confrontare le installazioni reali con le indicazioni del PSIRT e applicare gli aggiornamenti appropriati, senza presupporre che tutte le vulnerabilità abbiano la stessa gravità o siano già sfruttate attivamente.