Cisco corregge nove vulnerabilità critiche in Crosswork e Secure Workload

Due advisory, nove CVE e nessun workaround

Cisco ha pubblicato due advisory di sicurezza per vulnerabilità individuate nei prodotti Cisco Crosswork e Cisco Secure Workload. Gli aggiornamenti sono stati pubblicati il 19 agosto 2026 e, per Crosswork, l’advisory è stato aggiornato il 21 agosto 2026.

I difetti sono stati scoperti durante attività interne di sicurezza, utilizzando i processi di test già adottati dall’azienda e anche modelli di intelligenza artificiale frontier. Cisco dichiara di non essere a conoscenza di sfruttamenti attivi, annunci pubblici o utilizzi malevoli delle vulnerabilità.

Gli advisory raggruppano i problemi in base alle classi CWE e assegnano un CVE a ciascun gruppo. Il totale è di nove identificativi: quattro riguardano Crosswork e cinque Secure Workload.

Il materiale complessivo indica sei vulnerabilità con punteggio CVSS 10.0. Tuttavia, nelle singole righe degli advisory e nei dati disponibili risultano esplicitamente cinque CVE con valutazione 10.0: tre in Crosswork e due in Secure Workload. Gli altri punteggi arrivano a 9.9, 9.6 e 7.5.

Crosswork: SQL injection, autenticazione assente e file system controllabile

L’advisory cisco-sa-hardening-crosswork-UzDTU9Vh riguarda quattro prodotti:

• Cisco Crosswork Data Gateway
• Cisco Crosswork Network Controller
• Cisco Crosswork Planning
• Cisco Crosswork Workflow Manager

L’impatto è indipendente dalla configurazione. La revisione 2.0 dell’advisory ha aggiunto ufficialmente Workflow Manager all’elenco dei prodotti coinvolti.

Le versioni vulnerabili e quelle corrette sono:

• Data Gateway, Network Controller e Planning: versione 7.2.1 e precedenti, corrette nella 7.2.1-SP;
• Workflow Manager: versione 2.1.1 e precedenti, corretta nella 2.1.1-SP.

Le quattro vulnerabilità sono:

• CVE-2026-20030, CVSS 10.0, CWE-89: neutralizzazione impropria di elementi speciali nei comandi SQL, quindi una forma di SQL injection;
• CVE-2026-20357, CVSS 10.0, CWE-306: una funzione critica può essere raggiunta senza autenticazione;
• CVE-2026-20358, CVSS 10.0, CWE-73: controllo esterno di percorsi o risorse del file system;
• CVE-2026-20359, CVSS 9.9, CWE-522: protezione insufficiente delle credenziali.

Per i primi tre CVE, i vettori CVSS indicano attacchi eseguibili via rete, con bassa complessità, senza privilegi preliminari e senza interazione dell’utente. Gli impatti potenziali comprendono perdita di riservatezza, alterazione dei dati e indisponibilità dei servizi.

CVE-2026-20359 richiede invece privilegi bassi. Per CVE-2026-20358, l’impatto sulla riservatezza è indicato come nullo, mentre restano elevati quelli su integrità e disponibilità.

Cisco non ha pubblicato workaround per queste vulnerabilità.

Secure Workload coinvolge installazioni SaaS e on-premises

Il secondo advisory, cisco-sa-hardening-csw1-shSvndWP, riguarda Cisco Secure Workload Software nelle distribuzioni Software as a Service e on-premises. Anche in questo caso l’impatto è dichiarato indipendente dalla configurazione del dispositivo.

Le correzioni dipendono dal ramo utilizzato:

• ramo 3.10 e precedenti: aggiornamento alla 3.10.9.1;
• ramo 4.0: aggiornamento alla 4.0.4.16.

Sono coinvolti cinque CVE:

• CVE-2026-20231, CVSS 9.9, CWE-74: neutralizzazione impropria di elementi speciali, con possibilità di command injection, OS injection o argument injection;
• CVE-2026-20315, CVSS 10.0, CWE-284: controllo degli accessi improprio, inclusi difetti di autorizzazione, privilegi e bypass;
• CVE-2026-20317, CVSS 10.0, CWE-287: autenticazione impropria, mancante o aggirabile;
• CVE-2026-20318, CVSS 9.6, CWE-20: validazione errata degli input, path traversal e controllo esterno dei percorsi;
• CVE-2026-20319, CVSS 7.5, CWE-119: operazioni non adeguatamente limitate ai confini del buffer, con possibilità di overflow e scritture fuori dai limiti.

I dati CVSS disponibili indicano che almeno alcune delle vulnerabilità più gravi possono essere sfruttate via rete senza autenticazione e senza interazione dell’utente. Altre richiedono privilegi bassi. Gli impatti potenziali includono accesso o modifica non autorizzata delle risorse, esecuzione di comandi, aggiramento dei controlli e compromissione della disponibilità.

Per rimuovere completamente l’esposizione devono essere aggiornati tutti i componenti Cluster, Agent e Connector. Nelle distribuzioni SaaS Cisco ha già aggiornato il componente Cluster; i clienti devono quindi intervenire su Agent e Connector.

Anche per Secure Workload non sono disponibili workaround.

Cosa devono fare gli amministratori

La misura indicata da Cisco è l’aggiornamento alle versioni corrette. Prima dell’intervento, gli amministratori dovrebbero verificare memoria disponibile, compatibilità dell’hardware e supporto delle configurazioni in uso.

Per Crosswork, il piano di aggiornamento è:

• Data Gateway, Network Controller e Planning alla 7.2.1-SP;
• Workflow Manager alla 2.1.1-SP.

Per Secure Workload occorre aggiornare:

• tutti i componenti del ramo 3.10 alla 3.10.9.1;
• tutti i componenti del ramo 4.0 alla 4.0.4.16.

Chi non riesce a ottenere i pacchetti tramite il normale canale di acquisto deve contattare il Cisco Technical Assistance Center o il proprio fornitore di manutenzione. Cisco richiede di avere a disposizione il numero di serie e l’URL dell’advisory.

Non sono stati forniti indicatori di compromissione, regole specifiche per il rilevamento o procedure forensi dedicate. In assenza di workaround, i clienti che non possono aggiornare immediatamente dovrebbero almeno verificare l’esposizione delle interfacce di gestione, controllare gli accessi anomali e monitorare tentativi inattesi verso servizi, percorsi o funzioni amministrative. Queste attività non sostituiscono la correzione.

Stato CISA KEV e sfruttamento noto

Le schede NVD disponibili non riportano uno stato CISA Known Exploited Vulnerabilities per questi CVE. Non è quindi disponibile una data di inserimento nel catalogo KEV né una scadenza CISA.

L’assenza di una scadenza KEV non riduce la gravità tecnica dei difetti. I punteggi più elevati descrivono vulnerabilità potenzialmente sfruttabili da remoto, in alcuni casi senza autenticazione, ma Cisco dichiara che al momento non risultano attacchi attivi o uso malevolo noto.

Non sono disponibili elementi sufficienti per stabilire se Cisco abbia avuto altri precedenti recenti nel catalogo KEV collegati a questi prodotti. Al momento, il dato operativo certo è l’assenza di workaround e la disponibilità delle release correttive indicate negli advisory.