Cisco ha pubblicato 14 avvisi di sicurezza che coprono 34 CVE il 21 ottobre 2026. Le release affrontano vulnerabilità in Cisco Expressway Series, Snort 3, prodotti Unified Communications, IOS XR sui router ASR 9000 e il modulo Secure Firewall Posture di Cisco Secure Client.
Il problema più grave è CVE-2026-76466, una vulnerabilità di Cisco Expressway Series classificata Critica, con punteggio CVSS base di 9,8. Uno sfruttamento riuscito potrebbe consentire a un attaccante di eseguire comandi con privilegi di root su un dispositivo vulnerabile.
Il avviso anticipato PSIRT di Cisco è stato pubblicato per la prima volta il 14 ottobre 2026 alle ore 16:00 GMT e finalizzato come versione 1.1 il 21 ottobre alle ore 16:09 GMT. Cisco raccomanda vivamente di installare il software corretto indicato in ciascun avviso di prodotto.
La falla di Expressway può portare all'esecuzione di comandi come root
Secondo il reportage di SecurityWeek sui risultati di Cisco, CVE-2026-76466 deriva dall'uso di cookie persistenti combinato con una validazione inadeguata dei certificati client in alcune configurazioni.
Un attaccante potrebbe connettersi al servizio di database e invocare determinati comandi di chiamata di procedura remota (RPC). Un attacco riuscito consentirebbe l'esecuzione arbitraria di comandi come root sul sistema operativo sottostante del dispositivo.
Secondo SecurityWeek, la correzione è disponibile nella versione X15.5.20 di Expressway Series. Il sito afferma inoltre che questa release risolve le otto vulnerabilità da CVE-2026-76490 a CVE-2026-76497, sebbene il suo resoconto non distingua chiaramente la copertura della release per la RCE da quella dei problemi di hardening raggruppati.
Cisco ha assegnato all'avviso di hardening di Expressway che riguarda otto CVE una valutazione Alta, con punteggio CVSS base di 8,6. Un problema separato di divulgazione di informazioni, CVE-2026-76435, è classificato di gravità Media con punteggio 5,3.
Le vulnerabilità di Snort 3 includono esecuzione di comandi e interruzioni dell'ispezione
Tredici CVE interessano Snort 3 o prodotti Cisco che incorporano il suo motore di rilevamento. Cisco ha classificato come Critico l'avviso di hardening di Snort 3 che riguarda quattro CVE, con punteggio 9,0:
- CVE-2026-20043: scrittura fuori dai limiti, classificata come CWE-787. Il suo record NVD riporta un punteggio CVSS 3.1 di 9,0 e descrive un attacco raggiungibile dalla rete che richiede alta complessità, senza privilegi né interazione dell'utente.
- CVE-2026-20236: calcolo errato, CWE-682. Il suo punteggio NVD individuale è 7,5.
- CVE-2026-20291: gestione impropria dei privilegi, CWE-269. Il suo punteggio NVD individuale è 7,8 e riflette un attaccante locale con privilegi bassi.
- CVE-2026-20356: consumo non controllato di risorse, CWE-400. Il suo punteggio NVD individuale è 7,5.
Questi punteggi NVD individuali non vanno confusi con la valutazione 9,0 che Cisco ha assegnato all'avviso di hardening combinato.
Un'altra problematica significativa per Snort, CVE-2026-76524, ha valutazione Alta e punteggio 7,8. Interessa il socket del canale di controllo di Snort 3 e richiede un attaccante locale autenticato con privilegi bassi. Poiché il socket non autentica l'utente locale che si connette, lo sfruttamento potrebbe consentire l'esecuzione di comandi con l'utente del processo Snort 3 e l'accesso alla memoria del processo.
Diverse falle raggiungibili da remoto possono invece interrompere l'ispezione dei pacchetti costringendo il motore di rilevamento Snort 3 a riavviarsi:
- CVE-2026-76489 riguarda una gestione incompleta degli errori e memoria non rilasciata durante l'elaborazione dei file. Un attaccante remoto non autenticato potrebbe innescare la condizione inviando un grande volume di file.
- CVE-2026-20019 interessa il parsing di NetFlow. Un pacchetto NetFlow UDP appositamente costruito, inviato attraverso una connessione già stabilita, può produrre una negazione del servizio.
- CVE-2026-20179 riguarda il parsing dei pacchetti GRE e può essere attivata con un pacchetto GRE appositamente costruito.
Ciascuna di queste tre vulnerabilità ha un punteggio CVSS di 5,8. Gli altri avvisi Snort di Cisco riguardano CVE-2026-20197, CVE-2026-20221, CVE-2026-20011, CVE-2026-20218 e CVE-2026-76445.
Secondo SecurityWeek, i problemi di Snort 3 sono corretti nella versione 3.12.4.0. Il sito identifica inoltre le implementazioni Cisco interessate, tra cui Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD e UTD per IOS XE.
L'avviso per Unified Communications ha un punteggio di 9,8
Cisco ha classificato come Critico il proprio avviso di hardening per Unified Communications, che riguarda otto CVE, con punteggio CVSS base di 9,8. Include:
- CVE-2026-76473
- CVE-2026-76474
- CVE-2026-76475
- CVE-2026-76476
- CVE-2026-76477
- CVE-2026-76478
- CVE-2026-76479
- CVE-2026-76481
SecurityWeek descrive le prime tre come problemi di controllo impropri delle risorse, autenticazione impropria e neutralizzazione inadeguata dell'input. La valutazione Critica a livello di avviso si applica all'intero gruppo di otto CVE e non soltanto a quelle tre voci.
L'elenco dei prodotti Unified Communications interessati riportato da SecurityWeek comprende Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unified Communications Manager Session Management Edition e Unity Connection.
Cisco ha inoltre pubblicato un avviso di gravità Media per CVE-2026-76487, una vulnerabilità di controllo degli accessi impropria in Unified Communications Manager con punteggio 5,3.
Anche IOS XR e Secure Client ricevono correzioni
Le due CVE restanti interessano aree di prodotto distinte:
| CVE | Prodotto e impatto | Valutazione Cisco | CVSS |
|---|---|---|---|
| CVE-2026-76505 | Software IOS XR per router Serie ASR 9000; negazione del servizio legata a pacchetti unicast IPv4 | Alta | 7,5 |
| CVE-2026-76462 | Modulo Secure Firewall Posture di Cisco Secure Client; escalation dei privilegi | Alta | 5,5 |
Nell'insieme della release, le 34 CVE si ripartiscono in 13 per Snort 3, 10 per Expressway, nove per Unified Communications e due per IOS XR e Secure Client.
Indicazioni per l'aggiornamento e stato dello sfruttamento
L'avviso anticipato di Cisco afferma che, a livello di avviso, non sono disponibili workaround, e invita i clienti ad aggiornare alla versione software corretta indicata in ciascun avviso specifico. Questa affermazione non stabilisce se tutti gli avvisi sottostanti abbiano lo stesso stato in termini di workaround.
Secondo SecurityWeek, Cisco non era a conoscenza di sfruttamenti attivi in natura. Le valutazioni CVSS Critica e Alta descrivono il potenziale impatto tecnico; non costituiscono una prova che gli attaccanti stiano attualmente sfruttando le falle.
Gli amministratori dovrebbero innanzitutto individuare le installazioni Expressway esposte e verificare se si applicano le condizioni di configurazione per CVE-2026-76466. Anche gli operatori Snort dovrebbero dare priorità al passaggio alla 3.12.4.0, soprattutto dove un riavvio del motore sospenderebbe l'ispezione dei pacchetti. Gli altri prodotti Cisco vanno confrontati con i rispettivi avvisi prima di installare la release corretta indicata.
