Cisco ha rilasciato aggiornamenti di sicurezza che risolvono 24 vulnerabilità presenti in diversi prodotti aziendali, tra cui alcune falle di gravità critica che interessano Catalyst SD-WAN, IOS XE e Secure Firewall Management Center (FMC). La vulnerabilità più grave, CVE-2026-20079, riguarda FMC e presenta un punteggio CVSS pari a 10,0; essa consente ad aggressori remoti non autenticati di aggirare l’autenticazione e ottenere l’accesso a livello di root. Cisco ha inoltre segnalato falle critiche in IOS XE e Catalyst SD-WAN che potrebbero consentire l’iniezione di comandi, l’escalation dei privilegi e l’accesso non autorizzato.

Sebbene Cisco affermi di non essere a conoscenza di sfruttamenti attivi in circolazione, per una delle vulnerabilità che colpisce Cisco IMC è disponibile pubblicamente un codice proof-of-concept (PoC), il che aumenta la probabilità di futuri tentativi di sfruttamento.

Risultati principali

Bypass critico dell’autenticazione in Cisco FMC

CVE-2026-20079
Punteggio CVSS: 10,0 (critico)

Una vulnerabilità presente in Cisco Secure Firewall Management Center consente a un aggressore remoto non autenticato di inviare richieste HTTP appositamente costruite che aggirano i controlli di autenticazione ed eseguono script con privilegi di root. Lo sfruttamento riuscito della vulnerabilità fornisce agli aggressori il controllo amministrativo completo sul sistema interessato.

Impatto potenziale

• Compromissione totale del dispositivo
• Esecuzione non autorizzata di script
• Accesso a livello di root
• Assunzione del controllo della gestione della sicurezza di rete
• Potenziale movimento laterale all'interno degli ambienti aziendali

Vulnerabilità critiche in Cisco IOS XE

Cisco ha risolto sette vulnerabilità in IOS XE, tra cui:

Queste vulnerabilità potrebbero consentire agli aggressori di eseguire comandi non autorizzati o di aggirare i controlli di sicurezza, con conseguente compromissione del dispositivo.

Vulnerabilità critiche in Catalyst SD-WAN

Cisco ha risolto cinque vulnerabilità SD-WAN, tra cui tre critiche:

Altre vulnerabilità ad alta gravità:

• CVE-2026-20312: archiviazione in chiaro di informazioni sensibili
• CVE-2026-20313: Convalida non corretta della quantità di dati in ingresso
• Accesso non autorizzato all’infrastruttura SD-WAN
• Esposizione di dati di configurazione sensibili
• Accesso arbitrario ai file
• Interruzione del servizio di rete

Impatto potenziale

Vulnerabilità Cisco IMC ad alta gravità con PoC pubblico

CVE-2026-20200
Punteggio CVSS: 8,8

Cisco ha segnalato una vulnerabilità ad alta gravità nell’Integrated Management Controller (IMC) che interessa i server rack UCS serie C M7 e M8 operanti in modalità standalone. La vulnerabilità consente ad aggressori autenticati di eseguire comandi arbitrari e ottenere privilegi di root. È importante sottolineare che Cisco ha confermato la disponibilità di un codice proof-of-concept pubblico, il che aumenta il rischio di sfruttamento della vulnerabilità.

Valutazione della minaccia

Probabilità di sfruttamento: ALTA

I fattori che aumentano il rischio includono:

• Vulnerabilità multiple classificate come Critiche (9,0 - 10,0 CVSS).
• Superfici di attacco esposte alla rete, in particolare implementazioni FMC e SD-WAN.
• Disponibilità di codice PoC pubblico per CVE-2026-20200.
• Elevato valore dei sistemi interessati sia per gli operatori di spionaggio che per quelli di ransomware.

Impatto aziendale: ELEVATO

Uno sfruttamento riuscito potrebbe comportare:

• Compromissione totale dell’infrastruttura di gestione della rete
• Elevazione dei privilegi a livello root/sistema
• Modifica non autorizzata delle configurazioni di rete
• Interruzione dei servizi e tempi di inattività operativa
• Movimento laterale all’interno degli ambienti aziendali

Raccomandazioni:

1. Aggiornare tutte le implementazioni Cisco Catalyst SD-WAN all’ultima versione software corretta, dando priorità alle interfacce di gestione esposte a Internet e ai sistemi interessati dalle vulnerabilità critiche. Le versioni corrette consigliate includono 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 e 26.1.2. Gli ambienti che utilizzano versioni precedenti alla 20.9 devono essere aggiornati o migrati a una versione supportata.
2. Rivedere e rafforzare i controlli di accesso alla rete SD-WAN, poiché lo sfruttamento delle vulnerabilità richiede un accesso autenticato con privilegi ridotti. Applicare il principio del privilegio minimo, rimuovere gli account inutilizzati o inattivi e limitare l’accesso al piano di gestione solo agli utenti che ne hanno effettivamente bisogno.
3. Implementare controlli compensativi laddove non sia possibile applicare immediatamente le patch. Limitare l’accesso amministrativo ai controller SD-WAN tramite connettività esclusivamente VPN, applicare liste di IP consentiti e ridurre al minimo l’esposizione delle interfacce di gestione fino al completamento della correzione.

Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, mettetevi in contatto con noi per scoprire come proteggere la vostra organizzazione.