Cisco corrige cinco vulnerabilidades críticas en Expressway, Unified Communications Manager y Snort 3

Qué ha pasado

Cisco publicó el 21 de octubre de 2026 un lote de avisos de seguridad que corrigen ocho vulnerabilidades, cinco con puntuación crítica. Los datos proceden de los avisos del fabricante; NVD todavía no ha publicado estas CVE.

La más relevante es CVE-2026-76466 (CVSS 9.8), en Cisco Expressway Series. Según el aviso de Cisco, un atacante remoto sin autenticar con acceso de red al equipo podría ejecutar comandos arbitrarios del sistema operativo como root. El fallo reside en el servicio de base de datos, que usa cookies persistentes y, cuando el modo TLS Verify está activado para el clúster, no valida los certificados de cliente: quien disponga de esas cookies puede conectarse al servicio e invocar determinados comandos RPC. Lo comunicó un investigador de la firma Jane Street.

Además, una revisión interna de Cisco ha dado lugar a versiones de refuerzo (hardening) para sus productos de comunicaciones unificadas y para Snort 3. Cada una de estas CVE agrupa varios fallos descubiertos internamente:

• CVE-2026-76473 (CVSS 9.8): fallos agrupados en la categoría CWE-74, explotables en remoto sin autenticar.
• CVE-2026-76474 (CVSS 9.8): autenticación incorrecta (CWE-287), explotable en remoto sin autenticar.
• CVE-2026-76475 (CVSS 9.3): XSS (cross-site scripting); requiere que la víctima interactúe.
• CVE-2026-76476 (CVSS 8.8): validación insuficiente de la entrada; requiere un usuario autenticado.
• CVE-2026-76477 (CVSS 8.8): inyección SQL; requiere un usuario autenticado.
• CVE-2026-76478 (CVSS 8.8): control de acceso inadecuado; requiere acceso local con credenciales.
• CVE-2026-20043 (CVSS 9.0): escrituras fuera de los límites de memoria en Snort 3.

A quién afecta

CVE-2026-76466 afecta a Cisco Expressway-C y Expressway-E, tanto en versión virtual como appliance, si ejecutan una versión vulnerable y están configurados en clúster. Son vulnerables las versiones X14 y anteriores y las X15.5.3 y anteriores.

Las seis CVE del aviso de comunicaciones (de CVE-2026-76473 a CVE-2026-76478) afectan, según Cisco, a Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (Unified CM), Unified CM IM & Presence Service, Unified CM Session Management Edition y Unity Connection.

CVE-2026-20043 afecta a Snort 3, el motor de detección de intrusiones de código abierto de Cisco que integran varios de sus productos. La información disponible no precisa qué productos concretos están afectados.

Estado de la explotación

Ninguna de las ocho vulnerabilidades figura en el catálogo KEV de CISA. En el caso de Expressway, Cisco afirma no tener constancia de anuncios públicos ni de uso malicioso. Aun así, tres fallos tienen CVSS 9.8 y pueden explotarse en remoto sin credenciales, por lo que conviene no demorar la actualización.

Qué hacer

Cisco indica que no existen soluciones alternativas para CVE-2026-76466: la única corrección es actualizar. Para el resto, el fabricante ha publicado versiones de refuerzo, pero los datos disponibles no detallan las versiones concretas.

• Inventariar los equipos Expressway-C y Expressway-E y comprobar si funcionan en clúster.
• Actualizar Expressway a la versión X15.5.20; desde X14 o anteriores, migrar a una versión corregida.
• Como medida general, sin que sustituya al parche, revisar qué sistemas tienen acceso de red a los Expressway.
• Consultar el aviso de refuerzo de Cisco para Unified CM, Unity Connection y el resto de productos de comunicaciones, y aplicar las versiones que indique.
• Identificar los productos Cisco que integran Snort 3 y revisar el aviso correspondiente.

Fuentes

• Cisco Expressway Series Remote Code Execution Vulnerability

Tecnologías afectadas

Vulnerabilidades (8)