Cisco: RCE crítica en Expressway y fallos en Unified CM y Snort 3

El 21 de octubre de 2026 Cisco publicó un nuevo grupo de boletines de seguridad, señalado el mismo día por el Canadian Centre for Cyber Security (aviso AV26-1073) y el 22 de octubre por INCIBE-CERT y SecurityWeek. Según SecurityWeek las correcciones son 34 y afectan a Expressway Series, a los productos Unified Communications, a Snort 3, a IOS XR y a Secure Client. Es un ciclo distinto del 7 de octubre, centrado en NX-OS y en los Nexus 3000 y 9000: esta vez las prioridades son la colaboración (telefonía y videoconferencias) y el motor de inspección de los firewalls.

Según SecurityWeek, Cisco no tiene constancia de explotaciones; INCIBE-CERT también indica «sin explotación» para las CVE de los productos UC. Ninguna de las tres fuentes da las puntuaciones CVSS, que encontrarás en los boletines de Cisco.

Expressway Series: comandos como root

El fallo más grave descrito es la CVE-2026-76466, crítica, en Cisco Expressway Series. Según SecurityWeek, que recoge la descripción de Cisco, en algunas configuraciones el uso de cookies persistentes y una validación insuficiente de los certificados de cliente permiten a un atacante conectarse al servicio de base de datos del dispositivo e invocar comandos RPC (remote procedure call) específicos. Si el ataque tiene éxito, el atacante ejecuta comandos arbitrarios como root en el sistema operativo subyacente. Las fuentes no dicen qué configuraciones están afectadas ni si hace falta autenticación: compruébalo en el boletín.

La corrección está en la versión X15.5.20, indicada también por el Canadian Centre for Cyber Security (las versiones anteriores son vulnerables). Según SecurityWeek la misma versión resuelve en total 10 vulnerabilidades: además de la CVE-2026-76466, ocho CVE que agrupan varios defectos por categoría CWE y un fallo de gravedad media de divulgación de información.

Si el dispositivo es accesible desde el exterior, la explotación corresponde a MITRE ATT&CK T1190 (Exploit Public-Facing Application). Las fuentes no publican indicadores de compromiso.

Unified CM y productos de colaboración: tres CVE críticas

El segundo bloque afecta a Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (Unified CM), Unified CM IM & Presence Service, Unified CM Session Management Edition y Unity Connection, corregidos con la «Cisco Unified Communications Products Security Hardening Release» de octubre de 2026. Las fuentes no coinciden en el número: SecurityWeek habla de nueve CVE, mientras que INCIBE-CERT enumera ocho, tres críticas y cinco de gravedad alta.

Las tres críticas, citadas por ambas, agrupan varios defectos del mismo tipo:

• CVE-2026-76473: control inadecuado de un recurso a lo largo de su ciclo de vida, relacionado con problemas de inyección;
• CVE-2026-76474: autenticación inadecuada;
• CVE-2026-76475: neutralización inadecuada de entradas durante la generación de páginas web.

Las CVE de gravedad alta que enumera INCIBE-CERT son CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479 y CVE-2026-76481.

Según INCIBE-CERT, las versiones vulnerables están afectadas independientemente de la configuración y no hay soluciones alternativas. La versión 15 debe actualizarse a 15SU5 (dato confirmado por el Canadian Centre for Cyber Security); la versión 14 debe migrarse a una versión corregida.

Snort 3 y los productos que lo integran: 13 CVE

Según SecurityWeek, 13 CVE afectan a Snort 3, el motor de detección de intrusiones que Cisco integra en varios productos. Las más graves, CVE-2026-20236 y CVE-2026-20043, agrupan errores de cálculo y escrituras fuera de los límites de la memoria de gravedad crítica; las demás incluyen fallos de gravedad alta (gestión de privilegios, consumo de recursos, ejecución de comandos arbitrarios) y media.

Las correcciones están en Snort 3 3.12.4.0 y en las actualizaciones de seguridad de Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD y UTD para IOS XE. El Canadian Centre for Cyber Security indica como vulnerables Cyber Vision antes de la 5.6.0 y varias versiones de Secure FTD. Las fuentes no describen el vector de ataque.

IOS XR y Secure Client

• IOS XR: CVE-2026-76505, denegación de servicio de gravedad alta; varias versiones afectadas, según el Canadian Centre for Cyber Security.
• Secure Client: CVE-2026-76462, escalada de privilegios de gravedad alta en el módulo Secure Firewall Posture; son vulnerables las versiones anteriores a la 5.1.20.333. En ATT&CK corresponde a T1068 (Exploitation for Privilege Escalation).

Impacto para las empresas europeas e italianas

Expressway y Unified CM sostienen la telefonía y las videoconferencias de muchas empresas y organismos públicos. Expressway se usa a menudo como pasarela para conectarse desde fuera de la red corporativa: si el tuyo es accesible desde Internet, la CVE-2026-76466 va primero. Emergency Responder gestiona la localización de las llamadas de emergencia: un asunto concreto para hospitales y centros sanitarios, donde la telefonía interna forma parte de los procesos clínicos.

Para las entidades sujetas a NIS2 el caso entra en la gestión de vulnerabilidades con prioridades y plazos documentados; un incidente significativo causado por una explotación debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). Los fallos de Snort 3 afectan a los firewalls y a los dispositivos que inspeccionan el tráfico: actualizarlos suele requerir una ventana de mantenimiento, que conviene planificar ya.

Qué hacer ya

1. Haz inventario de Expressway, Unified CM y los demás productos UC, de los firewalls Secure FTD y ASA, Meraki MX, Cyber Vision, routers IOS XR y equipos con Secure Client, con las versiones instaladas.
2. Actualiza Expressway a la X15.5.20, empezando por los sistemas accesibles desde Internet.
3. Lleva los productos UC de la versión 15 a la 15SU5 y planifica la migración de los de la versión 14: según INCIBE-CERT no hay soluciones alternativas.
4. Actualiza Snort 3 a la 3.12.4.0 y los productos que lo integran, comprobando las versiones corregidas con Cisco Software Checker.
5. Actualiza Secure Client a la 5.1.20.333 donde uses el módulo Secure Firewall Posture, e IOS XR a la versión indicada por Cisco.
6. Limita el acceso a las interfaces de administración de Expressway y Unified CM a una red de gestión separada: buena práctica general, no sustituye a la actualización.
7. Vigila conexiones anómalas a los servicios de Expressway, comandos inesperados y reinicios de routers y firewalls, enviando los registros a un sistema externo.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas: puedes comprobar si un Expressway o una interfaz de gestión de la telefonía es accesible desde fuera. ARX Sentry recoge los registros de firewalls y dispositivos de red en un colector central, de modo que reinicios y anomalías quedan registrados también fuera de los dispositivos afectados.

Última actualización: 22 de octubre de 2026