Cisco corregge 15 vulnerabilità: rischio critico per Crosswork e Secure Workload

Cisco ha distribuito aggiornamenti per 15 vulnerabilità che interessano piattaforme di gestione della rete, sicurezza dei workload, comunicazione aziendale e contact center. I difetti comprendono SQL injection, bypass dell’autenticazione, path traversal, command injection, buffer overflow e lettura di file tramite XML.

Le falle più gravi riguardano Cisco Crosswork e Cisco Secure Workload. Quattro vulnerabilità Crosswork raggiungono un punteggio CVSS compreso fra 9,9 e 10,0. Cisco dichiara di non avere evidenze di sfruttamento in attacchi reali.

Crosswork: quattro falle critiche nella piattaforma di gestione

Per Cisco Crosswork è disponibile la versione correttiva 7.2.1-SP. L’aggiornamento risolve quattro vulnerabilità critiche:

• CVE-2026-20030: SQL injection, CVSS 10,0;
• CVE-2026-20357: assenza di autenticazione, CVSS 10,0;
• CVE-2026-20358: controllo esterno del file system, CVSS 10,0;
• CVE-2026-20359: protezione insufficiente delle credenziali, CVSS 9,9.

I primi tre difetti hanno un vettore di attacco remoto, non richiedono autenticazione né interazione dell’utente e possono compromettere riservatezza, integrità e disponibilità dei sistemi. La quarta vulnerabilità richiede invece privilegi iniziali, ma conserva un impatto molto elevato.

Cisco indica che ciascun CVE raggruppa più problemi appartenenti alla stessa classe. Un attacco riuscito potrebbe permettere l’esecuzione remota di codice, il superamento dei controlli di autenticazione, l’attraversamento dei percorsi del file system e la sovrascrittura o cancellazione di file.

Il rischio non riguarda quindi soltanto la disponibilità della piattaforma. Un aggressore potrebbe usare Crosswork come punto d’accesso a funzioni amministrative o per modificare dati e file utilizzati dai componenti di gestione.

Secure Workload combina problemi di accesso e injection

Cisco ha pubblicato due versioni correttive per Secure Workload:

• 4.0.4.16;
• 3.10.9.1.

Gli aggiornamenti risolvono cinque CVE. I primi quattro sono classificati critici:

• CVE-2026-20315: difetti nei controlli di accesso e nell’autenticazione, con possibile bypass; CVSS 10,0;
• CVE-2026-20317: ulteriori problemi di autorizzazione e autenticazione, anch’essi sfruttabili per aggirare i controlli; CVSS 10,0;
• CVE-2026-20231: code injection e OS command injection; CVSS 9,9;
• CVE-2026-20318: validazione insufficiente degli input e path traversal; CVSS 9,6;
• CVE-2026-20319: buffer overflow e scritture oltre i limiti della memoria.

I dati disponibili mostrano che le prime tre vulnerabilità con punteggio noto possono essere raggiunte via rete senza autenticazione per i problemi di accesso, mentre la code injection associata a CVE-2026-20231 richiede privilegi iniziali. L’impatto comprende compromissione dei dati, modifica delle informazioni e interruzione dei servizi.

La combinazione di bypass autorizzativi e primitive di injection aumenta il rischio operativo. Un attaccante potrebbe prima superare i controlli applicativi e poi utilizzare comandi o codice manipolato per intervenire sull’ambiente sottostante.

Per CVE-2026-20319 non è indicato un punteggio CVSS individuale. Il difetto riguarda comunque la memoria e può causare corruzione dei dati, crash o comportamenti non previsti dell’applicazione.

BroadWorks espone file tramite entità XML esterne

Cisco ha corretto anche CVE-2026-20320, una vulnerabilità ad alta gravità nel parser XML Open Client Interface (OCI) di BroadWorks.

La causa è l’abilitazione predefinita della risoluzione delle entità esterne. Un aggressore remoto non autenticato può inviare messaggi XML appositamente costruiti e indurre il sistema a leggere file locali. Il contenuto viene poi restituito con i privilegi di un utente BroadWorks, esponendo potenzialmente configurazioni e altre informazioni riservate.

Il problema è una forma di XML External Entity injection. La riuscita dell’attacco dipende dai file accessibili al processo e dai privilegi disponibili sull’installazione, ma non richiede necessariamente un account valido.

La correzione è inclusa nella release RI.2026.07 per questi componenti:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Gli operatori devono verificare la release di ciascun componente, perché l’aggiornamento interessa l’intero insieme indicato da Cisco.

Le altre falle riguardano contact center, RoomOS e switch industriali

Il pacchetto comprende inoltre vulnerabilità di gravità media in:

• Unified Intelligence Center;
• RoomOS;
• switch Industrial Ethernet (IE) 1000 Series;
• Packaged Contact Center Enterprise (CCE);
• Unified Contact Center Enterprise (CCE).

Per questi prodotti non sono disponibili gli identificativi CVE, le build corrette né una descrizione tecnica dei difetti. Non è quindi possibile stabilire, sulla base delle informazioni pubblicate, quali componenti siano esposti, quale sia il vettore di attacco o se esistano condizioni specifiche per lo sfruttamento.

Il numero complessivo delle vulnerabilità corrette da Cisco è 15. Le informazioni di dettaglio sono concentrate sui tre gruppi più rilevanti: Crosswork, Secure Workload e BroadWorks.

Cosa devono fare gli amministratori

Gli aggiornamenti prioritari sono:

• Crosswork 7.2.1-SP;
• Secure Workload 4.0.4.16 oppure 3.10.9.1;
• BroadWorks RI.2026.07 per i quattro componenti interessati.

Dopo l’installazione è necessario verificare che la versione in esecuzione corrisponda effettivamente a quella corretta, controllando anche eventuali nodi secondari, appliance e componenti distribuiti. Per le vulnerabilità Crosswork e Secure Workload, l’esposizione di interfacce amministrative verso reti non fidate dovrebbe essere riesaminata con urgenza.

Nel caso BroadWorks, i log meritano una verifica mirata alla ricerca di richieste OCI anomale, messaggi XML contenenti dichiarazioni di entità esterne e accessi inconsueti a file di configurazione. Non sono stati forniti indicatori di compromissione ufficiali né regole di rilevamento specifiche.

Per Unified Intelligence Center, RoomOS, IE 1000 Series e le due piattaforme CCE occorre consultare gli advisory Cisco relativi alle rispettive installazioni e applicare le build indicate dal vendor. Non sono stati resi noti workaround temporanei.

Non è noto se queste vulnerabilità siano presenti nel catalogo KEV della CISA; di conseguenza non risultano disponibili una data di inserimento o una scadenza CISA per la loro remediation. Cisco, inoltre, non segnala campagne di sfruttamento attive. L’assenza di evidenze non elimina però il rischio: i punteggi massimi e la presenza di difetti sfruttabili da remoto rendono gli aggiornamenti una priorità per gli ambienti esposti.