Cisco: RCE critică în Expressway, breșe în Unified CM și Snort 3

Pe 21 octombrie 2026 Cisco a publicat un nou set de buletine de securitate, semnalat în aceeași zi de Canadian Centre for Cyber Security (avizul AV26-1073) și pe 22 octombrie de INCIBE-CERT și SecurityWeek. Potrivit SecurityWeek, corecțiile sunt 34 și privesc Expressway Series, produsele Unified Communications, Snort 3, IOS XR și Secure Client. Este un ciclu diferit de cel din 7 octombrie, axat pe NX-OS și pe switch-urile Nexus 3000 și 9000: de data aceasta prioritățile sunt colaborarea (telefonie și videoconferințe) și motorul de inspecție al firewall-urilor.

Potrivit SecurityWeek, Cisco nu are cunoștință de exploatări; și INCIBE-CERT indică „fără exploatare” pentru CVE-urile produselor UC. Niciuna dintre cele trei surse nu dă scorurile CVSS, pe care le găsești în buletinele Cisco.

Expressway Series: comenzi ca root

Cea mai gravă breșă descrisă este CVE-2026-76466, critică, în Cisco Expressway Series. Potrivit SecurityWeek, care preia descrierea Cisco, în anumite configurații folosirea cookie-urilor persistente și validarea insuficientă a certificatelor client permit unui atacator să se conecteze la serviciul de bază de date al dispozitivului și să invoce anumite comenzi RPC (remote procedure call). Dacă atacul reușește, atacatorul execută comenzi arbitrare ca root pe sistemul de operare de bază. Sursele nu spun ce configurații sunt afectate și nici dacă este necesară autentificarea: verifică în buletin.

Corecția este în versiunea X15.5.20, indicată și de Canadian Centre for Cyber Security (versiunile anterioare sunt vulnerabile). Potrivit SecurityWeek, aceeași versiune rezolvă în total 10 vulnerabilități: pe lângă CVE-2026-76466, opt CVE care grupează mai multe defecte pe categorii CWE și o breșă de gravitate medie care expune informații.

Dacă dispozitivul este accesibil din exterior, exploatarea corespunde MITRE ATT&CK T1190 (Exploit Public-Facing Application). Sursele nu publică indicatori de compromitere.

Unified CM și produsele de colaborare: trei CVE critice

Al doilea grup privește Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (Unified CM), Unified CM IM & Presence Service, Unified CM Session Management Edition și Unity Connection, corectate cu „Cisco Unified Communications Products Security Hardening Release” din octombrie 2026. Sursele nu coincid asupra numărului: SecurityWeek vorbește de nouă CVE, iar INCIBE-CERT enumeră opt, trei critice și cinci de gravitate ridicată.

Cele trei critice, citate de ambele surse, grupează mai multe defecte de același tip:

• CVE-2026-76473: control inadecvat al unei resurse pe durata ciclului său de viață, legat de probleme de injecție;
• CVE-2026-76474: autentificare inadecvată;
• CVE-2026-76475: neutralizare inadecvată a datelor de intrare la generarea paginilor web.

CVE-urile de gravitate ridicată enumerate de INCIBE-CERT sunt CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479 și CVE-2026-76481.

Potrivit INCIBE-CERT, versiunile vulnerabile sunt afectate indiferent de configurație și nu există soluții alternative. Versiunea 15 trebuie actualizată la 15SU5 (informație confirmată de Canadian Centre for Cyber Security); versiunea 14 trebuie migrată la o versiune corectată.

Snort 3 și produsele care îl integrează: 13 CVE

Potrivit SecurityWeek, 13 CVE privesc Snort 3, motorul de detectare a intruziunilor pe care Cisco îl integrează în mai multe produse. Cele mai grave, CVE-2026-20236 și CVE-2026-20043, grupează erori de calcul și scrieri în afara limitelor memoriei de gravitate critică; celelalte includ breșe de gravitate ridicată (gestionarea privilegiilor, consumul de resurse, execuția de comenzi arbitrare) și medie.

Corecțiile sunt în Snort 3 3.12.4.0 și în actualizările de securitate pentru Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD și UTD pentru IOS XE. Canadian Centre for Cyber Security indică drept vulnerabile Cyber Vision înainte de 5.6.0 și mai multe versiuni de Secure FTD. Sursele nu descriu vectorul de atac.

IOS XR și Secure Client

• IOS XR: CVE-2026-76505, denial of service de gravitate ridicată; mai multe versiuni afectate, potrivit Canadian Centre for Cyber Security.
• Secure Client: CVE-2026-76462, escaladare a privilegiilor de gravitate ridicată în modulul Secure Firewall Posture; sunt vulnerabile versiunile anterioare lui 5.1.20.333. În ATT&CK corespunde T1068 (Exploitation for Privilege Escalation).

Impactul pentru companiile europene și italiene

Expressway și Unified CM susțin telefonia și videoconferințele multor companii și instituții publice. Expressway este folosit adesea ca gateway pentru conectarea din afara rețelei companiei: dacă al tău este accesibil din Internet, CVE-2026-76466 are prioritate. Emergency Responder gestionează localizarea apelurilor de urgență: o problemă concretă pentru spitale și unități medicale, unde telefonia internă face parte din procesele clinice.

Pentru entitățile NIS2, cazul ține de gestionarea vulnerabilităților cu priorități și termene documentate; un incident semnificativ cauzat de o exploatare trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). Breșele din Snort 3 afectează firewall-urile și dispozitivele care inspectează traficul: actualizarea lor cere de obicei o fereastră de mentenanță, pe care e bine s-o planifici de acum.

Ce trebuie făcut imediat

1. Fă inventarul pentru Expressway, Unified CM și celelalte produse UC, firewall-urile Secure FTD și ASA, Meraki MX, Cyber Vision, routerele IOS XR și stațiile cu Secure Client, cu versiunile instalate.
2. Actualizează Expressway la X15.5.20, începând cu sistemele accesibile din Internet.
3. Adu produsele UC din versiunea 15 la 15SU5 și planifică migrarea celor din versiunea 14: potrivit INCIBE-CERT nu există soluții alternative.
4. Actualizează Snort 3 la 3.12.4.0 și produsele care îl integrează, verificând versiunile corectate cu Cisco Software Checker.
5. Actualizează Secure Client la 5.1.20.333 acolo unde folosești modulul Secure Firewall Posture, și IOS XR la versiunea indicată de Cisco.
6. Limitează accesul la interfețele de administrare Expressway și Unified CM la o rețea de management separată: o bună practică generală, care nu înlocuiește actualizarea.
7. Monitorizează conexiunile anormale la serviciile Expressway, comenzile neașteptate și repornirile routerelor și firewall-urilor, trimițând jurnalele către un sistem extern.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute: poți verifica dacă un Expressway sau o interfață de administrare a telefoniei este accesibilă din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central, astfel încât repornirile și anomaliile rămân înregistrate și în afara dispozitivelor afectate.

Ultima actualizare: 22 octombrie 2026