Cisco corrige 15 vulnerabilidades: riesgo crítico para Crosswork y Secure Workload

Cisco ha publicado actualizaciones para 15 vulnerabilidades que afectan a plataformas de gestión de redes, seguridad de workloads, comunicaciones empresariales y centros de contacto. Los fallos incluyen inyección SQL, bypass de autenticación, path traversal, command injection, desbordamiento de búfer y lectura de archivos mediante XML.

Las vulnerabilidades más graves afectan a Cisco Crosswork y Cisco Secure Workload. Cuatro fallos de Crosswork alcanzan una puntuación CVSS de entre 9,9 y 10,0. Cisco afirma no tener evidencias de explotación en ataques reales.

Crosswork: cuatro fallos críticos en la plataforma de gestión

Para Cisco Crosswork está disponible la versión correctiva 7.2.1-SP. La actualización corrige cuatro vulnerabilidades críticas:

• CVE-2026-20030: inyección SQL, CVSS 10,0;
• CVE-2026-20357: ausencia de autenticación, CVSS 10,0;
• CVE-2026-20358: control externo del sistema de archivos, CVSS 10,0;
• CVE-2026-20359: protección insuficiente de credenciales, CVSS 9,9.

Los tres primeros fallos tienen un vector de ataque remoto, no requieren autenticación ni interacción del usuario y pueden comprometer la confidencialidad, integridad y disponibilidad de los sistemas. La cuarta vulnerabilidad requiere privilegios iniciales, pero mantiene un impacto muy elevado.

Cisco indica que cada CVE agrupa varios problemas pertenecientes a la misma clase. Un ataque exitoso podría permitir la ejecución remota de código, eludir los controles de autenticación, atravesar rutas del sistema de archivos y sobrescribir o eliminar archivos.

Por tanto, el riesgo no se limita a la disponibilidad de la plataforma. Un atacante podría utilizar Crosswork como punto de acceso a funciones administrativas o para modificar datos y archivos empleados por los componentes de gestión.

Secure Workload combina problemas de acceso e injection

Cisco ha publicado dos versiones correctivas para Secure Workload:

• 4.0.4.16;
• 3.10.9.1.

Las actualizaciones corrigen cinco CVE. Las cuatro primeras están clasificadas como críticas:

• CVE-2026-20315: fallos en los controles de acceso y la autenticación, con posible bypass; CVSS 10,0;
• CVE-2026-20317: problemas adicionales de autorización y autenticación, también explotables para eludir los controles; CVSS 10,0;
• CVE-2026-20231: code injection y OS command injection; CVSS 9,9;
• CVE-2026-20318: validación insuficiente de entradas y path traversal; CVSS 9,6;
• CVE-2026-20319: desbordamiento de búfer y escrituras fuera de los límites de la memoria.

Los datos disponibles muestran que las tres primeras vulnerabilidades con puntuación conocida pueden explotarse a través de la red sin autenticación en el caso de los problemas de acceso, mientras que la code injection asociada a CVE-2026-20231 requiere privilegios iniciales. El impacto incluye el compromiso de datos, la modificación de información y la interrupción de servicios.

La combinación de bypass de autorización y primitivas de injection aumenta el riesgo operativo. Un atacante podría eludir primero los controles de la aplicación y utilizar después comandos o código manipulado para actuar sobre el entorno subyacente.

Para CVE-2026-20319 no se indica una puntuación CVSS individual. El fallo afecta a la memoria y puede provocar corrupción de datos, cierres inesperados o comportamientos no previstos de la aplicación.

BroadWorks expone archivos mediante entidades externas XML

Cisco también ha corregido CVE-2026-20320, una vulnerabilidad de alta gravedad en el analizador XML Open Client Interface (OCI) de BroadWorks.

La causa es que la resolución de entidades externas está habilitada de forma predeterminada. Un atacante remoto no autenticado puede enviar mensajes XML especialmente diseñados y hacer que el sistema lea archivos locales. El contenido se devuelve posteriormente con los privilegios de un usuario de BroadWorks, lo que puede exponer configuraciones y otra información confidencial.

El problema es una forma de inyección XML External Entity. El éxito del ataque depende de los archivos accesibles para el proceso y de los privilegios disponibles en la instalación, pero no requiere necesariamente una cuenta válida.

La corrección está incluida en la release RI.2026.07 para estos componentes:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Los operadores deben comprobar la release de cada componente, ya que la actualización afecta al conjunto completo indicado por Cisco.

Los demás fallos afectan a contact centers, RoomOS y switches industriales

El paquete también incluye vulnerabilidades de gravedad media en:

• Unified Intelligence Center;
• RoomOS;
• switches Industrial Ethernet (IE) 1000 Series;
• Packaged Contact Center Enterprise (CCE);
• Unified Contact Center Enterprise (CCE).

Para estos productos no están disponibles los identificadores CVE, las builds corregidas ni una descripción técnica de los fallos. Por tanto, basándose en la información publicada, no es posible determinar qué componentes están expuestos, cuál es el vector de ataque o si existen condiciones específicas para su explotación.

El número total de vulnerabilidades corregidas por Cisco asciende a 15. La información detallada se concentra en los tres grupos más relevantes: Crosswork, Secure Workload y BroadWorks.

Qué deben hacer los administradores

Las actualizaciones prioritarias son:

• Crosswork 7.2.1-SP;
• Secure Workload 4.0.4.16 o 3.10.9.1;
• BroadWorks RI.2026.07 para los cuatro componentes afectados.

Tras la instalación, es necesario verificar que la versión en ejecución coincida realmente con la versión corregida, incluidos los nodos secundarios, appliances y componentes distribuidos. En el caso de las vulnerabilidades de Crosswork y Secure Workload, se debe revisar con urgencia la exposición de las interfaces administrativas a redes no confiables.

En BroadWorks, conviene revisar los logs en busca de solicitudes OCI anómalas, mensajes XML que contengan declaraciones de entidades externas y accesos inusuales a archivos de configuración. No se han proporcionado indicadores oficiales de compromiso ni reglas de detección específicas.

Para Unified Intelligence Center, RoomOS, IE 1000 Series y las dos plataformas CCE, es necesario consultar los advisories de Cisco correspondientes a cada instalación y aplicar las builds indicadas por el proveedor. No se han divulgado medidas de mitigación temporales.

No se sabe si estas vulnerabilidades están incluidas en el catálogo KEV de CISA; por ello, no hay disponible una fecha de incorporación ni un plazo de CISA para su remediation. Cisco tampoco informa de campañas de explotación activas. Sin embargo, la ausencia de evidencias no elimina el riesgo: las puntuaciones máximas y la existencia de fallos explotables de forma remota convierten las actualizaciones en una prioridad para los entornos expuestos.