Cisco publicó 14 avisos de seguridad que cubren 34 CVE el 21 de octubre de 2026. Las versiones corrigen vulnerabilidades en Cisco Expressway Series, Snort 3, productos de comunicaciones unificadas, los routers IOS XR de la serie ASR 9000 y el módulo Secure Firewall Posture de Cisco Secure Client.
El problema más grave es el CVE-2026-76466, una vulnerabilidad de Cisco Expressway Series calificada como crítica con una puntuación base CVSS de 9,8. Una explotación exitosa podría permitir a un atacante ejecutar comandos con privilegios de root en un dispositivo afectado.
El aviso anticipado de PSIRT de Cisco se publicó por primera vez el 14 de octubre de 2026 a las 16:00 GMT y se finalizó como versión 1.1 el 21 de octubre a las 16:09 GMT. Cisco recomienda encarecidamente instalar el software corregido indicado en cada aviso de producto.
La falla de Expressway puede derivar en la ejecución de comandos como root
Según la información de SecurityWeek sobre los hallazgos de Cisco, el CVE-2026-76466 se origina en el uso de cookies persistentes combinado con una validación insuficiente de certificados de cliente en determinadas configuraciones.
Un atacante podría conectarse al servicio de base de datos e invocar determinados comandos de llamada a procedimiento remoto (RPC). Un ataque exitoso permitiría la ejecución arbitraria de comandos como root en el sistema operativo subyacente del dispositivo.
SecurityWeek indica que la corrección está disponible en Expressway Series versión X15.5.20. También afirma que esta versión resuelve las ocho vulnerabilidades comprendidas entre el CVE-2026-76490 y el CVE-2026-76497, aunque su relato no separa con claridad la cobertura de la versión para la RCE de la de los problemas de endurecimiento agrupados.
Cisco asignó al aviso de endurecimiento de Expressway, que agrupa ocho CVE, una calificación Alta y una puntuación base CVSS de 8,6. Un problema independiente de divulgación de información, el CVE-2026-76435, tiene una calificación Media de 5,3.
Las vulnerabilidades de Snort 3 incluyen ejecución de comandos e interrupciones de la inspección
Trece CVE afectan a Snort 3 o a productos de Cisco que incorporan su motor de detección. Cisco calificó como crítico el aviso de endurecimiento de Snort 3, que agrupa cuatro CVE, con una puntuación de 9,0:
- CVE-2026-20043: escritura fuera de límites, clasificada como CWE-787. Su registro en NVD tiene una puntuación CVSS 3.1 de 9,0 y describe un ataque accesible por red que requiere alta complejidad, sin privilegios ni interacción del usuario.
- CVE-2026-20236: cálculo incorrecto, CWE-682. Su puntuación individual en NVD es 7,5.
- CVE-2026-20291: gestión inadecuada de privilegios, CWE-269. Su puntuación individual en NVD es 7,8 y refleja a un atacante local con privilegios bajos.
- CVE-2026-20356: consumo de recursos no controlado, CWE-400. Su puntuación individual en NVD es 7,5.
Estas puntuaciones individuales de NVD no deben confundirse con la calificación de 9,0 que Cisco asignó al aviso de endurecimiento combinado.
Otro problema relevante de Snort, el CVE-2026-76524, tiene calificación Alta y una puntuación de 7,8. Afecta al socket del canal de control de Snort 3 y requiere un atacante local autenticado con privilegios bajos. Como el socket no autentica al usuario local que se conecta, la explotación podría permitir ejecutar comandos con el usuario del proceso de Snort 3 y acceder a la memoria del proceso.
Varios fallos accesibles de forma remota pueden, en cambio, interrumpir la inspección de paquetes al forzar el reinicio del Detection Engine de Snort 3:
- CVE-2026-76489 implica un manejo incompleto de errores y memoria no liberada durante el procesamiento de archivos. Un atacante remoto no autenticado podría provocar la condición enviando un gran volumen de archivos.
- CVE-2026-20019 afecta al análisis de NetFlow. Un paquete UDP NetFlow manipulado enviado a través de una conexión establecida puede provocar una denegación de servicio.
- CVE-2026-20179 concierne al análisis de paquetes GRE y puede activarse con un paquete GRE manipulado.
Cada una de estas tres vulnerabilidades tiene una puntuación CVSS de 5,8. Los demás avisos de Snort de Cisco cubren los CVE-2026-20197, CVE-2026-20221, CVE-2026-20011, CVE-2026-20218 y CVE-2026-76445.
SecurityWeek indica que los problemas de Snort 3 están corregidos en la versión 3.12.4.0. También identifica implementaciones de Cisco afectadas, entre ellas Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD y UTD para IOS XE.
El aviso de comunicaciones unificadas tiene una puntuación de 9,8
Cisco calificó como crítico su aviso de endurecimiento de comunicaciones unificadas, que agrupa ocho CVE, con una puntuación base CVSS de 9,8. Incluye:
- CVE-2026-76473
- CVE-2026-76474
- CVE-2026-76475
- CVE-2026-76476
- CVE-2026-76477
- CVE-2026-76478
- CVE-2026-76479
- CVE-2026-76481
SecurityWeek describe los tres primeros como problemas relacionados con control inadecuado de recursos, autenticación insuficiente y neutralización inadecuada de entradas. La calificación crítica a nivel de aviso de Cisco se aplica al grupo completo de ocho CVE, y no solo a esas tres entradas.
La lista de productos de comunicaciones unificadas afectados que recoge SecurityWeek incluye Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unified Communications Manager Session Management Edition y Unity Connection.
Cisco también publicó un aviso de gravedad media para el CVE-2026-76487, una vulnerabilidad de control de acceso inadecuado en Unified Communications Manager con una puntuación de 5,3.
IOS XR y Secure Client también reciben correcciones
Los dos CVE restantes afectan a áreas de producto distintas:
| CVE | Producto e impacto | Calificación de Cisco | CVSS |
|---|---|---|---|
| CVE-2026-76505 | Software IOS XR para routers de la serie ASR 9000; denegación de servicio con paquetes unicast IPv4 | Alta | 7,5 |
| CVE-2026-76462 | Módulo Secure Firewall Posture de Cisco Secure Client; escalada de privilegios | Alta | 5,5 |
En conjunto, los 34 CVE se distribuyen en 13 de Snort 3, 10 de Expressway, nueve de comunicaciones unificadas y dos que abarcan IOS XR y Secure Client.
Recomendaciones de actualización y estado de la explotación
El aviso anticipado de Cisco indica que no hay soluciones alternativas a nivel de aviso y pide a los clientes actualizar al software corregido especificado en cada aviso individual. Esa afirmación no establece si todos los avisos subyacentes tienen el mismo estado de soluciones alternativas.
SecurityWeek indica que Cisco no tenía conocimiento de explotación activa. Las calificaciones CVSS Crítica y Alta describen el impacto técnico potencial; no son una prueba de que los atacantes estén usando actualmente estas fallas.
Los administradores deberían, en primer lugar, identificar los despliegues de Expressway expuestos y comprobar si se cumplen las condiciones de configuración del CVE-2026-76466. Los operadores de Snort también deberían priorizar el paso a 3.12.4.0, especialmente donde un reinicio del motor suspendería la inspección de paquetes. Los demás productos de Cisco deberían compararse con sus avisos respectivos antes de instalar la versión corregida designada.
