Cisco, nuove falle in Secure Email, IOS XR, switch Nexus 9000 e telefoni IP

Cisco ha pubblicato il 2 settembre 2026 una serie di advisory che coinvolgono infrastrutture email, apparati di rete e terminali VoIP. I problemi più gravi possono consentire esecuzione di codice da remoto, compromissione con privilegi root o denial of service.

Due vulnerabilità di gravità media riguardano invece la decrittazione S/MIME in Cisco Secure Email. In questo caso, un attaccante in posizione machine-in-the-middle potrebbe recuperare il contenuto in chiaro di messaggi cifrati.

La priorità operativa dipende dall’esposizione dei singoli asset. IOS XR e Nexus 9000 concentrano il rischio tecnico più elevato, mentre Secure Email coinvolge direttamente la riservatezza delle comunicazioni.

Secure Email può rivelare il contenuto dei messaggi S/MIME

Le vulnerabilità CVE-2026-20354 e CVE-2026-20355 si trovano nella funzione usata da Cisco Secure Email per decifrare messaggi protetti con Secure/Multipurpose Internet Mail Extensions, o S/MIME.

La causa è una verifica insufficiente dell’integrità dei messaggi. Cisco collega le due CVE ai bug interni CSCwu28362 e CSCwu28364 e alle classificazioni CWE-345 e CWE-354, entrambe riconducibili a controlli inadeguati sull’autenticità o sull’integrità dei dati.

Per sfruttare le falle, un aggressore remoto non autenticato deve riuscire a interporsi nel traffico tra i gateway email. Può quindi intercettare e modificare le comunicazioni, inducendo il sistema vulnerabile a elaborare contenuti S/MIME manipolati.

Se l’attacco riesce, l’aggressore può recuperare il testo in chiaro di email cifrate. L’effetto riguarda la confidenzialità: i vettori CVSS non attribuiscono conseguenze dirette all’integrità dei sistemi o alla loro disponibilità.

Entrambe le vulnerabilità hanno punteggio CVSS 5.9 e vettore:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

La complessità d’attacco è alta proprio perché serve una posizione machine-in-the-middle. Non sono invece necessarie credenziali o interazioni da parte dell’utente.

Sono esposti AsyncOS 16.5.0 e versioni precedenti

Le due falle interessano i dispositivi Cisco Secure Email che rispettano contemporaneamente due condizioni:

• utilizzano Cisco AsyncOS 16.5.0 o una versione precedente;
• hanno S/MIME configurato per le comunicazioni tra gateway email.

Non basta quindi la presenza di una release vulnerabile: la funzione S/MIME deve essere attiva nello specifico scenario tra gateway. Gli amministratori dovrebbero verificare entrambe le condizioni durante l’inventario, evitando di basarsi soltanto sulla versione installata.

Cisco raccomanda il passaggio al software corretto indicato nei dettagli dei bug CSCwu28362 e CSCwu28364. I numeri precisi delle release risolutive non sono stati resi noti nelle informazioni disponibili, quindi non è possibile indicare una build valida per ogni appliance.

Non esistono workaround che eliminino le vulnerabilità. Prima dell’aggiornamento occorre controllare la memoria disponibile, la compatibilità dell’hardware e il mantenimento di una configurazione supportata. Se la release corretta non è direttamente accessibile, Cisco invita a rivolgersi al Technical Assistance Center o al proprio fornitore di manutenzione.

L’advisory cisco-sa-esa-smime-disc-dzw4rEdY, versione finale 1.0, è stato pubblicato alle 16:00 GMT del 2 settembre 2026. Una notifica preliminare del PSIRT era stata diffusa alle 16:00 GMT del 26 agosto 2026 e aggiornata alla versione finale 1.1 alle 16:02 GMT del 2 settembre, aggiungendo i collegamenti agli advisory completi.

Cisco conosce un annuncio pubblico sulle due vulnerabilità, ma non ha rilevato utilizzi malevoli. La segnalazione è attribuita a un ricercatore esterno, del quale non è stato comunicato il nome.

IOS XR: sette CVE e rischio di esecuzione di codice

La Cisco IOS XR Software Security Hardening Release: September 2026 comprende sette vulnerabilità:

• CVE-2026-20277, CVSS 8.2;
• CVE-2026-20278, CVSS 8.8;
• CVE-2026-20280, CVSS 8.8;
• CVE-2026-20279, CVSS 9.8;
• CVE-2026-20276, CVSS 8.6;
• CVE-2026-20275, CVSS 8.8;
• CVE-2026-20274, per la quale non è disponibile qui il punteggio individuale.

L’hardening release è classificata complessivamente come critica, con un valore massimo CVSS 9.8. I punteggi individuali mostrano però differenze rilevanti nei prerequisiti e negli impatti.

CVE-2026-20279 è la più grave del gruppo: può essere sfruttata da remoto, senza autenticazione o intervento dell’utente, con impatto elevato su confidenzialità, integrità e disponibilità. È associata a problemi di memory safety e controllo improprio degli accessi.

CVE-2026-20274 riguarda invece condizioni di corruzione della memoria. Nel complesso, Cisco avverte che le falle IOS XR possono aprire la strada all’esecuzione di codice da remoto e ad altre forme di attacco.

Per CVE-2026-20278 e CVE-2026-20280 è richiesto un livello basso di privilegi. CVE-2026-20275 ha un vettore adiacente, quindi l’attaccante deve trovarsi su una rete logicamente o fisicamente vicina. CVE-2026-20276 incide soprattutto sulla disponibilità, mentre CVE-2026-20277 può alterare dati e provocare un impatto elevato sul servizio.

Le release IOS XR vulnerabili e le build corrette non sono state indicate. Non sono noti neppure indicatori di compromissione specifici che permettano di riconoscere lo sfruttamento delle sette CVE. Gli operatori devono quindi consultare l’advisory relativo alla propria piattaforma e applicare il software corretto previsto da Cisco.

Nexus 9000: una compromissione può arrivare ai privilegi root

Gli switch Cisco Nexus 9000 Series, in particolare i modelli basati su Silicon One, sono interessati da CVE-2026-20212, vulnerabilità critica con punteggio CVSS 9.8.

Un attaccante remoto può collegarsi a porte TCP accessibili per impostazione predefinita e ottenere l’esecuzione di codice con privilegi root. Un simile livello di accesso può portare alla compromissione completa dello switch, con conseguenze sul traffico gestito, sulla configurazione e sulla disponibilità della rete.

Non sono stati comunicati i numeri delle porte coinvolte, le release vulnerabili o le build risolutive. Gli amministratori devono identificare i Nexus 9000 presenti nell’infrastruttura, verificare se appartengono alle piattaforme indicate dall’advisory e limitare, dove possibile, la raggiungibilità dei servizi di gestione.

L’assenza dei numeri di porta impedisce di definire una regola di rilevamento universale. Restano utili l’analisi delle connessioni verso servizi TCP normalmente esposti dallo switch e la ricerca di modifiche amministrative, processi o configurazioni non autorizzate.

Pacchetti HTTP continui possono bloccare i telefoni Cisco

CVE-2026-20281 colpisce quattro famiglie di terminali che eseguono software SIP:

• Cisco Desk Phone 9800 Series;
• Cisco IP Phone 7800 Series;
• Cisco IP Phone 8800 Series;
• Cisco Video Phone 8875.

La vulnerabilità ha gravità alta e punteggio CVSS 7.5. Un attaccante remoto non autenticato può inviare flussi continui di pacchetti HTTP costruiti appositamente, provocando una condizione di denial of service.

L’impatto è l’indisponibilità dei telefoni, particolarmente critica negli ambienti che dipendono dal VoIP per attività operative, assistenza o comunicazioni d’emergenza. Non sono note le versioni vulnerabili, le release corrette o eventuali soluzioni temporanee specifiche.

I team di rete dovrebbero monitorare volumi HTTP anomali diretti ai telefoni, sequenze ripetute di richieste e riavvii o perdite di connettività simultanee. La segmentazione dei terminali VoIP e la limitazione dell’accesso ai relativi servizi riducono la superficie raggiungibile, ma non sostituiscono la patch.

Come stabilire le priorità di intervento

IOS XR e Nexus 9000 richiedono la precedenza per la possibilità di esecuzione di codice, soprattutto quando i servizi vulnerabili sono raggiungibili da reti non fidate. Nel caso dei Nexus, l’eventuale accesso root alza ulteriormente l’impatto.

Subito dopo vanno controllati i gateway Secure Email con AsyncOS 16.5.0 o precedente. La divulgazione è pubblica e non esistono workaround, anche se Cisco non ha osservato sfruttamento malevolo delle due CVE S/MIME.

I telefoni SIP devono entrare nel medesimo ciclo di aggiornamento, accompagnato dal monitoraggio del traffico HTTP. Un DoS distribuito su molti terminali può interrompere un intero servizio telefonico.

Non è nota l’inclusione di queste vulnerabilità nel catalogo Known Exploited Vulnerabilities della CISA; di conseguenza, non è disponibile una scadenza federale associata. Per tutte le piattaforme, l’indicazione operativa rimane l’installazione delle release corrette pubblicate da Cisco nei rispettivi advisory.