Cisco: RCE critica in Expressway e falle in Unified CM e Snort 3

Il 21 ottobre 2026 Cisco ha pubblicato un nuovo gruppo di bollettini di sicurezza, segnalato lo stesso giorno dal Canadian Centre for Cyber Security (avviso AV26-1073) e il 22 ottobre da INCIBE-CERT e SecurityWeek. Secondo SecurityWeek le correzioni sono 34 e riguardano Expressway Series, i prodotti Unified Communications, Snort 3, IOS XR e Secure Client. È un ciclo diverso da quello del 7 ottobre, centrato su NX-OS e sui Nexus 3000 e 9000: questa volta le priorità sono la collaborazione (telefonia e videoconferenze) e il motore di ispezione dei firewall.

Secondo SecurityWeek, Cisco non è a conoscenza di sfruttamenti; anche INCIBE-CERT indica «nessuno sfruttamento» per le CVE dei prodotti UC. Nessuna delle tre fonti riporta i punteggi CVSS, da leggere nei bollettini di Cisco.

Expressway Series: comandi come root

La falla più grave descritta è la CVE-2026-76466, critica, in Cisco Expressway Series. Secondo SecurityWeek, che riprende la descrizione di Cisco, in alcune configurazioni l’uso di cookie persistenti e una validazione insufficiente dei certificati client permettono a un attaccante di collegarsi al servizio di database del dispositivo e di invocare specifici comandi RPC (remote procedure call). Se l’attacco riesce, l’attaccante esegue comandi arbitrari come root sul sistema operativo sottostante. Le fonti non dicono quali configurazioni siano colpite né se serva un’autenticazione: vanno verificate nel bollettino.

La correzione è nella release X15.5.20, indicata anche dal Canadian Centre for Cyber Security (vulnerabili le release precedenti). Secondo SecurityWeek la stessa release risolve in tutto 10 vulnerabilità: oltre alla CVE-2026-76466, otto CVE che raggruppano più difetti per categoria CWE e una falla di gravità media che espone informazioni.

Se il dispositivo è raggiungibile dall’esterno, lo sfruttamento rientra in MITRE ATT&CK T1190 (Exploit Public-Facing Application). Le fonti non riportano indicatori di compromissione.

Unified CM e prodotti di collaborazione: tre CVE critiche

Il secondo blocco riguarda Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (Unified CM), Unified CM IM & Presence Service, Unified CM Session Management Edition e Unity Connection, corretti con la «Cisco Unified Communications Products Security Hardening Release» di ottobre 2026. Sul numero le fonti divergono: SecurityWeek parla di nove CVE, INCIBE-CERT ne elenca otto, tre critiche e cinque di gravità alta.

Le tre critiche, citate da entrambe, raggruppano più difetti dello stesso tipo:

• CVE-2026-76473: controllo inadeguato di una risorsa durante il suo ciclo di vita, legato a problemi di iniezione;
• CVE-2026-76474: autenticazione inadeguata;
• CVE-2026-76475: neutralizzazione inadeguata dell’input durante la generazione di pagine web.

Le CVE di gravità alta elencate da INCIBE-CERT sono CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479 e CVE-2026-76481.

Secondo INCIBE-CERT le versioni vulnerabili sono colpite qualunque sia la configurazione e non esistono workaround. Per la release 15 bisogna aggiornare alla 15SU5 (dato confermato dal Canadian Centre for Cyber Security); per la release 14 bisogna migrare a una release corretta.

Snort 3 e i prodotti che lo integrano: 13 CVE

Secondo SecurityWeek, 13 CVE riguardano Snort 3, il motore di rilevamento delle intrusioni che Cisco integra in diversi prodotti. Le più gravi, CVE-2026-20236 e CVE-2026-20043, raggruppano errori di calcolo e scritture fuori dai limiti della memoria di gravità critica; le altre comprendono falle di gravità alta (gestione dei privilegi, consumo di risorse, esecuzione di comandi arbitrari) e media.

Le correzioni sono in Snort 3 3.12.4.0 e negli aggiornamenti di sicurezza di Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD e UTD per IOS XE. Il Canadian Centre for Cyber Security indica come vulnerabili Cyber Vision prima della 5.6.0 e più versioni di Secure FTD. Le fonti non descrivono il vettore di attacco.

IOS XR e Secure Client

• IOS XR: CVE-2026-76505, denial of service di gravità alta; più versioni colpite, secondo il Canadian Centre for Cyber Security.
• Secure Client: CVE-2026-76462, elevazione dei privilegi di gravità alta nel modulo Secure Firewall Posture; vulnerabili le release precedenti alla 5.1.20.333. In ATT&CK corrisponde a T1068 (Exploitation for Privilege Escalation).

Impatto per le aziende europee e italiane

Expressway e Unified CM reggono la telefonia e le videoconferenze di molte aziende ed enti pubblici. Expressway è spesso usato come gateway per collegarsi da fuori della rete aziendale: se il tuo è raggiungibile da Internet, la CVE-2026-76466 va trattata per prima. Emergency Responder gestisce la localizzazione delle chiamate di emergenza: un tema concreto per ospedali e strutture sanitarie, dove la telefonia interna è parte dei processi clinici.

Per i soggetti NIS2 il caso rientra nella gestione delle vulnerabilità con priorità e tempi documentati; un incidente significativo dovuto a uno sfruttamento va valutato ai fini della notifica allo CSIRT Italia dell’ACN. Le falle di Snort 3 colpiscono i firewall e i dispositivi che ispezionano il traffico: il loro aggiornamento richiede in genere una finestra di manutenzione, da pianificare subito.

Cosa fare subito

1. Fai l’inventario di Expressway, Unified CM e degli altri prodotti UC, dei firewall Secure FTD e ASA, di Meraki MX, Cyber Vision, router IOS XR e postazioni con Secure Client, con le release installate.
2. Aggiorna Expressway alla X15.5.20, partendo dai sistemi raggiungibili da Internet.
3. Porta i prodotti UC della release 15 alla 15SU5 e pianifica la migrazione di quelli della release 14: secondo INCIBE-CERT non ci sono workaround.
4. Aggiorna Snort 3 alla 3.12.4.0 e i prodotti che lo integrano, verificando le release corrette con Cisco Software Checker.
5. Aggiorna Secure Client alla 5.1.20.333 dove usi il modulo Secure Firewall Posture, e IOS XR alla release indicata da Cisco.
6. Limita l’accesso alle interfacce di amministrazione di Expressway e Unified CM a una rete di gestione separata: buona pratica generale, non sostituisce l’aggiornamento.
7. Sorveglia connessioni anomale ai servizi di Expressway, comandi inattesi e riavvii di router e firewall, inviando i log a un sistema esterno.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note: puoi verificare se un Expressway o un’interfaccia di gestione della telefonia è raggiungibile da fuori. ARX Sentry raccoglie i log di firewall e dispositivi di rete in un collettore centrale, così riavvii e anomalie restano registrati anche fuori dai dispositivi colpiti.

Ultimo aggiornamento: 22 ottobre 2026