Nesta quarta-feira, a Cisco anunciou correções para 34 vulnerabilidades nas linhas Expressway Series, IOS XR, Snort 3 e Unified Communications.
A linha Expressway Series recebeu correções para 10 vulnerabilidades, incluindo uma falha de execução remota de código (RCE, do inglês remote code execution) de gravidade crítica, catalogada como CVE-2026-76466 (sigla de Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades).
Segundo a Cisco, o uso de cookies persistentes e a validação insuficiente de certificados de cliente em determinadas configurações poderiam permitir que atacantes se conectassem ao serviço de banco de dados e invocassem comandos específicos de chamada de procedimento remoto (RPC, do inglês remote procedure call) para explorar a falha.
“Uma exploração bem-sucedida poderia permitir que o atacante executasse comandos arbitrários como root no sistema operacional subjacente de um dispositivo afetado”, afirma a Cisco.
A falha de segurança foi corrigida na versão X15.5.20 do Expressway Series, que também resolve oito CVEs que agrupam múltiplas vulnerabilidades em suas respectivas categorias de CWE (sigla de Common Weakness Enumeration, enumeração de fraquezas comuns). Uma falha de divulgação de informações de gravidade média também foi corrigida.
A Cisco corrigiu nove CVEs em produtos de Unified Communications, incluindo Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager (CM), Unified Communications Manager IM & Presence Service (CM IM&P), Unified Communications Manager Session Management Edition (CM SME) e Unity Connection.
As mais graves são CVE-2026-76473, CVE-2026-76474 e CVE-2026-76475, três problemas de gravidade crítica que agrupam múltiplas falhas de controle inadequado de recursos, autenticação inadequada e neutralização imprópria de entradas.
Vários produtos da Cisco receberam correções para 13 CVEs que afetam o Snort 3, incluindo CVE-2026-20236 e CVE-2026-20043, que agrupam problemas de cálculo incorreto e de escrita fora dos limites (out-of-bounds write) de gravidade crítica.
As correções também resolvem falhas de gerenciamento de privilégios, consumo de recursos e execução arbitrária de comandos de gravidade alta, além de problemas de gravidade média. Elas foram incluídas na versão 3.12.4.0 do Snort 3 e em atualizações de segurança para Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD e UTD para IOS XE.
Além disso, a Cisco corrigiu uma vulnerabilidade de negação de serviço (DoS, do inglês denial of service) de gravidade alta no IOS XR, catalogada como CVE-2026-76505, e uma falha de escalonamento de privilégios de gravidade alta no módulo Secure Firewall Posture do Secure Client (CVE-2026-76462).
A Cisco afirma não ter conhecimento de que alguma dessas vulnerabilidades tenha sido explorada em ataques reais. Mais informações podem ser encontradas na página de avisos de segurança da empresa e no comunicado de 21 de outubro.
