Cisco corrige 15 vulnérabilités : risque critique pour Crosswork et Secure Workload

Cisco a publié des mises à jour corrigeant 15 vulnérabilités affectant des plateformes de gestion réseau, de sécurité des workloads, de communication d’entreprise et de centre de contacts. Ces failles comprennent des injections SQL, des contournements de l’authentification, du path traversal, des injections de commandes, des dépassements de tampon et la lecture de fichiers via XML.

Les vulnérabilités les plus graves concernent Cisco Crosswork et Cisco Secure Workload. Quatre failles Crosswork obtiennent un score CVSS compris entre 9,9 et 10,0. Cisco indique ne disposer d’aucune preuve d’exploitation dans des attaques réelles.

Crosswork : quatre failles critiques dans la plateforme de gestion

La version corrective 7.2.1-SP est disponible pour Cisco Crosswork. Cette mise à jour corrige quatre vulnérabilités critiques :

• CVE-2026-20030 : injection SQL, CVSS 10,0 ;
• CVE-2026-20357 : absence d’authentification, CVSS 10,0 ;
• CVE-2026-20358 : contrôle externe du système de fichiers, CVSS 10,0 ;
• CVE-2026-20359 : protection insuffisante des identifiants, CVSS 9,9.

Les trois premières failles sont exploitables à distance, ne nécessitent ni authentification ni interaction de l’utilisateur, et peuvent compromettre la confidentialité, l’intégrité et la disponibilité des systèmes. La quatrième vulnérabilité nécessite des privilèges initiaux, mais son impact reste très élevé.

Cisco précise que chaque CVE regroupe plusieurs problèmes appartenant à la même catégorie. Une exploitation réussie pourrait permettre l’exécution de code à distance, le contournement des contrôles d’authentification, la traversée des chemins du système de fichiers ainsi que l’écrasement ou la suppression de fichiers.

Le risque ne concerne donc pas uniquement la disponibilité de la plateforme. Un attaquant pourrait utiliser Crosswork comme point d’accès à des fonctions d’administration ou modifier des données et des fichiers utilisés par les composants de gestion.

Secure Workload combine problèmes d’accès et injections

Cisco a publié deux versions correctives pour Secure Workload :

• 4.0.4.16 ;
• 3.10.9.1.

Ces mises à jour corrigent cinq CVE. Les quatre premières sont classées critiques :

• CVE-2026-20315 : failles dans les contrôles d’accès et l’authentification, pouvant permettre un contournement ; CVSS 10,0 ;
• CVE-2026-20317 : autres problèmes d’autorisation et d’authentification, également exploitables pour contourner les contrôles ; CVSS 10,0 ;
• CVE-2026-20231 : injection de code et injection de commandes OS ; CVSS 9,9 ;
• CVE-2026-20318 : validation insuffisante des entrées et path traversal ; CVSS 9,6 ;
• CVE-2026-20319 : buffer overflow et écritures hors limites de la mémoire.

Les données disponibles indiquent que les trois premières vulnérabilités dont le score est connu peuvent être atteintes via le réseau sans authentification pour les problèmes d’accès, tandis que l’injection de code associée à CVE-2026-20231 nécessite des privilèges initiaux. L’impact peut inclure la compromission des données, la modification des informations et l’interruption des services.

La combinaison de contournements des autorisations et de primitives d’injection accroît le risque opérationnel. Un attaquant pourrait d’abord contourner les contrôles applicatifs, puis utiliser des commandes ou du code manipulé pour intervenir sur l’environnement sous-jacent.

Aucun score CVSS individuel n’est indiqué pour CVE-2026-20319. Cette faille concerne néanmoins la mémoire et peut entraîner une corruption des données, un crash ou des comportements inattendus de l’application.

BroadWorks expose des fichiers via des entités XML externes

Cisco a également corrigé CVE-2026-20320, une vulnérabilité de gravité élevée affectant l’analyseur XML Open Client Interface (OCI) de BroadWorks.

La cause réside dans l’activation par défaut de la résolution des entités externes. Un attaquant distant non authentifié peut envoyer des messages XML spécialement conçus et amener le système à lire des fichiers locaux. Leur contenu est ensuite renvoyé avec les privilèges d’un utilisateur BroadWorks, ce qui peut exposer des configurations et d’autres informations sensibles.

Le problème relève d’une injection XML External Entity. La réussite de l’attaque dépend des fichiers accessibles au processus et des privilèges disponibles sur l’installation, mais ne nécessite pas nécessairement de compte valide.

Le correctif est inclus dans la release RI.2026.07 pour les composants suivants :

• BroadWorks Application Delivery Platform ;
• BroadWorks Application Server ;
• BroadWorks Profile Server ;
• BroadWorks Xtended Services Platform.

Les opérateurs doivent vérifier la release de chaque composant, car la mise à jour concerne l’ensemble indiqué par Cisco.

Les autres failles concernent les centres de contacts, RoomOS et les switches industriels

Le correctif comprend également des vulnérabilités de gravité moyenne dans :

• Unified Intelligence Center ;
• RoomOS ;
• les switches Industrial Ethernet (IE) 1000 Series ;
• Packaged Contact Center Enterprise (CCE) ;
• Unified Contact Center Enterprise (CCE).

Pour ces produits, les identifiants CVE, les builds corrigées et les descriptions techniques des failles ne sont pas disponibles. Il est donc impossible de déterminer, à partir des informations publiées, quels composants sont exposés, quel est le vecteur d’attaque ou si des conditions particulières sont nécessaires à l’exploitation.

Le nombre total de vulnérabilités corrigées par Cisco s’élève à 15. Les informations détaillées se concentrent sur les trois groupes les plus importants : Crosswork, Secure Workload et BroadWorks.

Mesures à prendre par les administrateurs

Les mises à jour prioritaires sont les suivantes :

• Crosswork 7.2.1-SP ;
• Secure Workload 4.0.4.16 ou 3.10.9.1 ;
• BroadWorks RI.2026.07 pour les quatre composants concernés.

Après l’installation, il est nécessaire de vérifier que la version exécutée correspond bien à la version corrigée, notamment sur les nœuds secondaires, les appliances et les composants distribués. Pour les vulnérabilités Crosswork et Secure Workload, l’exposition des interfaces d’administration à des réseaux non fiables doit être réévaluée en urgence.

Dans le cas de BroadWorks, les journaux doivent faire l’objet d’une analyse ciblée afin de détecter d’éventuelles requêtes OCI anormales, des messages XML contenant des déclarations d’entités externes et des accès inhabituels à des fichiers de configuration. Aucun indicateur officiel de compromission ni aucune règle de détection spécifique n’ont été fournis.

Pour Unified Intelligence Center, RoomOS, IE 1000 Series et les deux plateformes CCE, il convient de consulter les avis de sécurité Cisco correspondant aux installations concernées et d’appliquer les builds indiquées par l’éditeur. Aucun contournement temporaire n’a été communiqué.

On ignore si ces vulnérabilités figurent dans le catalogue KEV de la CISA ; aucune date d’ajout ni échéance de remédiation fixée par la CISA n’est donc actuellement disponible. Cisco ne signale par ailleurs aucune campagne d’exploitation active. L’absence de preuve ne supprime toutefois pas le risque : les scores maximaux et la présence de failles exploitables à distance font de ces mises à jour une priorité pour les environnements exposés.