Cisco пусна обновления за сигурност за критична уязвимост в Cisco Expressway, която би могла да позволи на отдалечени атакуващи да изпълняват команди на операционната система с права на root.

Проследявана като CVE-2026-76466, уязвимостта има оценка 9.8 по CVSS и засяга уязвими Expressway устройства, конфигурирани в клъстер. Cisco публикува своя бюлетин за сигурност на 21 октомври 2026 г.

Проблемът засяга Cisco Expressway Core (Expressway-C) и Cisco Expressway Edge (Expressway-E). Засегнати са както виртуалните инсталации, така и хардуерните устройства, когато работят с уязвим софтуер и включен клъстеринг. Успешната експлоатация може да предостави на атакуващите контрол върху базовата операционна система.

Според бюлетина за сигурност на Cisco слабостта се намира в услугата за бази данни и е свързана с постоянни бисквитки (persistent cookies). Cisco също така установи, че клиентските сертификати не се проверяват правилно, когато клъстерингът активира режима TLS Verify Mode. Това означава, че активираната настройка не осигурява очакваната валидация на сертификатите.

Атакуващ, който разполага с необходимите бисквитки и мрежов достъп до засегнато устройство, би могъл да се свърже с неговата услуга за бази данни и да извика специфични команди за отдалечено извикване на процедури (RPC). Тези извиквания биха могли да позволят на атакуващия да изпълнява команди с привилегии на root – най-високото ниво на достъп в системата.

Уязвимост в Cisco Expressway

Въпреки че Cisco описва атакуващия като неавтентифициран, притежаването на бисквитките остава важно изискване. Бюлетинът не пояснява как атакуващ би се сдобил с тях.

Поради това читателите не трябва да тълкуват констатацията като доказателство, че атакуващ може незабавно да компрометира всяко достъпно Expressway устройство.

Потенциалното въздействие наподобява други случаи, отразени в публикациите на Cyber Security News относно критични слабости в продукти на Cisco за отдалечено изпълнение на код, макар че засегнатите продукти и методите на атака се различават.

Cisco посочва версии Expressway X15.5.3 и по-ранни като засегнати, като X15.5.20 е идентифицирана като първата коригирана версия. Клиентите, използващи X14 или по-ранна версия, трябва да мигрират към коригирана версия. Няма алтернативни решения (workarounds) за смекчаване на тази уязвимост.

Корекцията за сигурност е включена и в по-широкото издание на Cisco от октомври 2026 г. за повишаване на сигурността (hardening) на Expressway. Това издание отстранява допълнителни слабости, открити по време на вътрешен преглед на сигурността.

За разлика от този специфичен за клъстери дефект, по-общият бюлетин за подобряване на защитата обхваща засегнатите устройства Expressway-C и Expressway-E независимо от конфигурацията им. Администраторите трябва да проверят инсталираните версии и настройките на клъстера, след което да планират надграждане, използвайки указанията за съвместимост на Cisco.

Само проверката на версията не е достатъчна за установяване на уязвимост, тъй като тази конкретна уязвимост изисква и клъстерна конфигурация. По-широко отразяване е достъпно чрез бюлетините за сигурност на Cisco в Cyber Security News.

Cisco изразява благодарност на Стефан Алексич от Jane Street за докладването на уязвимостта. Към момента на публикуване екипът по реагиране на инциденти със сигурността на продуктите (PSIRT) заяви, че няма информация за публични съобщения или злонамерено използване. Това изявление не намалява необходимостта да се отстрани уязвимостта в засегнатите клъстери, предвид потенциалната възможност за отдалечено изпълнение на команди като root.