- Les darreres actualitzacions de Cisco corregeixen vulnerabilitats crítiques a ISE, SD-WAN, Nexus, ACI i firewalls que permeten RCE, escalat de privilegis i DoS.
- Diversos errors amb CVSS 10.0 afecten sistemes de gestió centralitzada (ISE, FMC, SD-WAN Manager), per la qual cosa la prioritat és aplicar pegats oficials sense dependre de workarounds.
- Cisco recomana reforçar segmentació, control de ports, revisió de logs i hardening d'APIs i serveis de gestió com a complements imprescindibles al pegat.
- La gestió contínua d'actualitzacions, juntament amb monitorització avançada i processos de seguretat madurs, és vital per reduir el risc a les xarxes empresarials basades en Cisco.
Les actualitzacions crítiques de Cisco han esdevingut una peça clau de l' estratègia de ciberseguretat de qualsevol empresa que depengui de la infraestructura de xarxa per al dia a dia. En els últims mesos s'han encadenat avisos de seguretat que afecten solucions tan sensibles com sistemes de gestió d'identitat, plataformes SD-WAN, switches de nucli i firewalls perimetrals, cosa que obliga els equips tècnics a estar molt a sobre dels pegats disponibles.
Quan apareixen vulnerabilitats amb puntuacions CVSS properes o iguals a 10.0 , parlem de fallades que poden donar accés remot sense autenticació, executar codi amb privilegis de root o tombar serveis crítics de xarxa amb un simple paquet maliciós. Si a això us sumem que alguns d'aquests problemes ja s'estan explotant activament, la conclusió és clara: qui tingui equips Cisco en producció s'ha de moure ràpid, organitzar bé les finestres de manteniment i reforçar controls al voltant d'aquestes plataformes.
Vulnerabilitats crítiques a Cisco Identity Services Engine (ISE) i gestió d'identitat
Cisco ha publicat pedaços per a tres vulnerabilitats remotes d'execució de codi sense autenticació a Identity Services Engine (ISE) ia ISE Passive Identity Connector (ISE‑PIC). Totes tenen una puntuació CVSS de 10.0, és a dir, el nivell màxim de criticitat, ja que permeten que un atacant remot aconsegueixi privilegis de root en sistemes que són fonamentals per controlar qui hi entra i què pot fer dins de la xarxa corporativa.
Les falles anunciades es corresponen amb CVE‑2025‑20281, CVE‑2025‑20282 i CVE‑2025‑20337 , totes relacionades amb una validació insuficient de les entrades que processen certes APIs internes. A la pràctica, un ciberdelinqüent pot enviar peticions manipulades per carregar fitxers maliciosos en rutes privilegiades o forçar l'execució d'ordres arbitràries amb els màxims permisos disponibles al sistema.
Pel que fa a l'abast, estan afectats ISE i ISE‑PIC a les versions 3.3 (fins a Patch 6) i 3.4 (fins a Patch 1) . Curiosament, les branques 3.2 i anteriors no es veuen impactades per aquests errors concrets, de manera que el risc es concentra en desplegaments relativament recents que solen ser els que estan en producció en entorns exigents.
El problema d'aquest tipus de vulnerabilitats és que no hi ha solucions temporals efectives : no hi ha configuració miraculosa ni workaround estable que permeti guanyar temps. La mateixa Cisco deixa clar que l'única forma realista de mitigació passa per instal·lar els pegats oficials, cosa que obliga a organitzar una planificació ràpida d'actualització a tots els nodes d'ISE implicats.
Les correccions es troben disponibles a ISE/ISE‑PIC 3.4 Patch 2 i ISE/ISE‑PIC 3.3 Patch 7 . Fins i tot encara que en alguns entorns s'hagin aplicat hotfixes específics (com paquets del tipus ise‑apply‑CSCwo99449_3.3.0.430_patch4‑SPA.tar.gz), Cisco recomana avançar igualment a aquests pegats oficials, ja que els arranjaments ad‑hoc2025 no cobreixen C20337 completa del conjunt de fallades.
A més del pegat, és imprescindible reforçar l' exposició de les interfícies administratives i API d'ISE . Limitar l'accés a xarxes de gestió de confiança, protegir amb ACLs i firewalls d'aplicació, revisar logs d'autenticació i accions administratives i desplegar sistemes de monitorització de comportament ajuden a detectar intents d'explotació abans que l'atacant aconsegueixi escalar.
Quatre vulnerabilitats crítiques a plataformes de gestió d'identitat de Cisco
Relacionades amb aquest mateix àmbit d'identitat i accés, Cisco ha reconegut quatre vulnerabilitats addicionals de nivell crític en components clau de Cisco Identity Services Engine (ISE) i Cisco Secure Access Cloud. Aquestes solucions són la base de l'autenticació i l'autorització en moltes xarxes empresarials, per la qual cosa qualsevol error aquí té impacte directe en la integritat, la confidencialitat i la disponibilitat de la infraestructura.
Entre les debilitats detectades destaquen diverses possibilitats d'execució remota de codi i errors en la validació d'entrades que permeten a un atacant sense privilegis elevar permisos, alterar processos interns o comprometre completament els sistemes afectats. Si l'atac té èxit, el resultat pot variar des de l'accés no autoritzat a informació sensible fins a la interrupció dels serveis d'autenticació i bloquejar l'accés legítim dels usuaris.
Des d'un punt de vista tècnic, una de les famílies de fallades es recolza en errors a l'hora de validar les dades que reben les API o serveis interns . Mitjançant peticions acuradament manipulades, és possible executar comandes arbitràries, sortejar mecanismes d'autenticació o escriure en ubicacions del sistema que haurien d'estar blindades, amb conseqüències potencialment catastròfiques en entorns de producció.
L'impacte en la disponibilitat tampoc no és menor: en tractar-se de productes que centralitzen la gestió d'accessos , qualsevol degradació o caiguda derivada d'un atac es pot traduir en una denegació de servei generalitzada per a VPNs, Wi-Fi corporatiu , accessos cablejats amb 802-1X o integracions amb directoris d'usuaris.
Per corregir aquestes bretxes, Cisco ha emès actualitzacions de programari específiques per a les versions afectades d'ISE i Secure Access Cloud . La recomanació per als equips de seguretat és prioritzar aquestes actualitzacions dins del pla de manteniment, especialment en entorns amb dependència alta dels serveis d'autenticació centralitzada i accés condicional.
Mentre es completa el cicle de pegat, convé reforçar el monitoratge de logs, alertes de correlació i sistemes de detecció d'intrusos al voltant d'aquestes plataformes. Revisar patrons d'autenticació estranys, pics d'errors en API i comportaments anòmals en nodes d'ISE pot ajudar a identificar intents d'explotació fins i tot quan l'atacant encara no hagi aconseguit un compromís complet.
Errors crítics a Cisco Catalyst SD-WAN, Nexus i ACI
Més enllà de l'àmbit d'identitat, Cisco ha publicat un extens paquet d'avisos de seguretat que afecten entorns Cisco Catalyst SD-WAN i diverses famílies de switches Cisco Nexus i ACI . L´informe tècnic detalla problemes d´autenticació, escalat de privilegis, exposició d´informació i múltiples escenaris de denegació de servei amb abast remot o adjacent.
Entre els casos més greus hi ha CVE‑2026‑20127 i CVE‑2026‑20129 , totes dues relacionades amb l'autenticació a Cisco Catalyst SD‑WAN Controller i Cisco Catalyst SD‑WAN Manager. La primera, amb un CVSS de 10.0, permet a un atacant remot no autenticat saltar-se el procés d'aparellament i obtenir directament privilegis administratius sobre el sistema afectat, fet que suposa un control total sobre la configuració de l'SD-WAN.
En el cas de CVE‑2026‑20129 , la vulnerabilitat recau sobre l'autenticació d'usuaris de l'API de Cisco Catalyst SD‑WAN Manager, també amb un vector remot sense autenticació i una puntuació CVSS de 9.8. Mitjançant una petició especialment construïda, un atacant pot accedir amb privilegis de netadmin i executar ordres amb aquest nivell de permisos. Cisco indica que les versions 20.18 i posteriors de SD‑WAN Manager no es veuen afectades per aquest error concret.
També s'han documentat vulnerabilitats d'escalada local com ara CVE‑2026‑20126 i CVE‑2026‑20128 , que permeten a un usuari amb permisos limitats a SD‑WAN Manager aconseguir privilegis de root o d'usuari DCA. En tots dos casos, l'explotació es recolza en l'abús d'API internes (REST API o funcions de Data Collection Agent) i requereix credencials vàlides, però l'impacte potencial inclou la presa completa del sistema o l'accés a altres nodes dins de l'entorn SD-WAN.
L'informe inclou referències a errors previs a la CLI de Cisco SD-WAN ( CVE-2022-20775 i CVE-2022-20818 ), que ja s'han vist explotats a la pràctica i permeten executar comandes arbitràries com a root des d'un accés local autenticat. Tot i que aquestes vulnerabilitats tenen una puntuació CVSS lleugerament inferior (7.8), continuen sent molt perilloses en entorns on múltiples operadors comparteixen accés a la línia d'ordres.
Al costat dels switches de centre de dades, els avisos assenyalen problemes com CVE‑2026‑20048 , una vulnerabilitat en el maneig de SNMP en commutadors Cisco Nexus 9000 Series en mode ACI. Un atacant remot autenticat, amb accés a un community string de només lectura a SNMPv1/v2c oa credencials SNMPv3 vàlides, pot provocar una denegació de servei en disparar una fallada de kernel que obliga al reinici del dispositiu.
Altres fallades, com CVE‑2026‑20033, CVE‑2026‑20051 i CVE‑2026‑20010 , afecten la capa 2 i serveis com LLDP en diferents plataformes Nexus (3600, 9500‑R, 9000 en mode ACI i NX‑OS). En tots els casos es tracta de vulnerabilitats explotables des de la xarxa adjacent, sense autenticació, que poden provocar reinicis inesperats, bucles de trànsit de capa 2 o saturació total de l'amplada de banda, derivant en interrupcions de servei severes.
El resum del butlletí deixa clar que no hi ha solucions alternatives generals per a aquestes vulnerabilitats; la mitigació passa per actualitzar a les versions corregides de programari a SD‑WAN, Nexus i ACI. En alguns casos, sí que se suggereixen mesures de reducció de superfície com segmentar el trànsit de gestió, filtrar accessos als ports implicats (per exemple, restringir l'accés a ports 22 i 830 en desplegaments SD-WAN) i vigilar molt de prop els registres d'aparellament i trànsit de control.
Actualitzacions massives a Cisco Secure Firewall, ASA i FMC
En paral·lel a les vulnerabilitats d'identitat i xarxa, Cisco ha llançat una actualització de seguretat de gran importància per al seu ecosistema de firewalls , en què s'inclouen 48 vulnerabilitats descobertes a Cisco Secure Firewall ASA, Secure Firewall Management Center (FMC) i Secure Firewall Threat Defense (FTD) . Dues d'aquestes fallades han rebut una puntuació CVSS de 10.0, cosa que les col·loca en el màxim nivell de gravetat.
Les vulnerabilitats més crítiques es localitzen a Cisco Secure Firewall Management Center , el component que centralitza l'administració de polítiques, configuracions, desplegaments i monitorització dels tallafocs corporatius de Cisco. Concretament, es destaquen dos errors: CVE‑2026‑20079, relacionat amb un bypass d'autenticació, i CVE‑2026‑20131, enfocat a l'execució remota de codi.
Ambdós problemes permeten que un atacant remot accedeixi a FMC sense credencials vàlides i executi codi amb privilegis de root al sistema que gestiona tota la infraestructura de tallafocs. Un compromís d'aquest tipus significa que l'atacant podria modificar regles, desactivar inspeccions, redirigir trànsit o fins i tot esborrar evidències d'activitat maliciosa, cosa que eleva el risc al màxim nivell possible dins un entorn perimetral.
El butlletí inclou a més múltiples vulnerabilitats de denegació de servei sobre funcions de Remote Access SSL VPN i el servidor web de la VPN a ASA i FTD. Algunes tenen puntuacions CVSS de 8.6, classificades com d'alta severitat, ja que permeten tombar serveis d'accés remot que solen ser crítics per al teletreball i les connexions de tercers.
En total, Cisco detalla 25 avisos de seguretat que engloben les 48 vulnerabilitats , amb actualitzacions disponibles per a les diferents branques suportades d'ASA, FMC i FTD. Tot i que el Cisco PSIRT indica que, en el moment de la publicació, no es tenia constància d'explotació activa de les dues vulnerabilitats crítiques de FMC, el caràcter remot, sense autenticació i sobre un sistema de gestió centralitzat fa que la urgència de pegat sigui molt alta.
La recomanació prioritària és actualitzar en primer lloc tots els desplegaments que utilitzin FMC com a consola d'administració , planificant finestres de manteniment escalonades per no deixar la xarxa desprotegida. Després, convé aplicar també els pegats a ASA i FTD, sobretot en aquells equips exposats directament a Internet o que donin servei a usuaris remots.
Butlletins previs: Cisco Enterprise NFV, Prime, Nexus Insights i ISE
A més de les onades recents de pegats, és important recordar que Cisco acumula avisos de seguretat en altres components clau del seu ecosistema , molts d'ells encara presents en xarxes de producció. Un exemple el tenim en un butlletí que recull diverses vulnerabilitats rellevants identificades per equips de ciberseguretat com ara Netglobalis.
En aquest avís s'enumeren errors com CVE‑2021‑34746 , una vulnerabilitat d'omissió d'autenticació al programari d'infraestructura de Cisco Enterprise NFV, que pot permetre a un atacant esquivar controls d'accés fonamentals en entorns de virtualització de funcions de xarxa.
També es destaca CVE‑2021‑34733 , una vulnerabilitat de divulgació d'informació a Cisco Prime Infrastructure i Cisco Evolved Programmable Network Manager. En aquest cas, lexplotació podria exposar dades de configuració o informació sensible sobre la xarxa, molt útil per preparar atacs posteriors més dirigits.
En el terreny de la gestió de col·laboració, CVE‑2021‑34732 fa referència a una vulnerabilitat de seqüències d'ordres entre llocs (XSS) en el procés d'aprovisionament de col·laboració de Cisco Prime, mentre que CVE‑2021‑34759 afecta Cisco Identity Services Engine amb un altre XSS que podria permetre l'execució de codi al navegador.
Finalment, s'esmenta CVE‑2021‑34765 , una vulnerabilitat de divulgació d'informació autenticada a Cisco Nexus Insights, que pot facilitar l'accés no autoritzat a dades internes sobre el rendiment i l'estat de la xarxa. Novament, informació d'alt valor per a un atacant amb vista a moviments laterals o sabotatge selectiu.
La directriu en aquests casos és clara: instal·lar les actualitzacions recomanades pel fabricant des dels seus canals oficials , prèvia avaluació de l'impacte en serveis crítics, i coordinar el desplegament amb el personal tècnic responsable . Abans de tocar producció, cal provar els pegats en entorns de preproducció o laboratori, revisar notes de versió i validar compatibilitats amb integracions existents.
Estratègies de mitigació i enduriment en entorns Cisco
Tenint en compte la quantitat i gravetat de les vulnerabilitats recents, no n'hi ha prou amb instal·lar pegats i oblidar-se'n. És fonamental adoptar un enfocament de defensa en profunditat i enduriment (“hardening”) a totes les capes de la infraestructura Cisco, des de la gestió d'identitats fins al pla de control de xarxa i els tallafocs perimetrals.
En desplegaments Cisco Catalyst SD-WAN, per exemple, Cisco recomana restringir el trànsit cap als ports de gestió sensibles (com 22 i 830) únicament a adreces IP de controladors coneguts, desactivar l'accés HTTP al portal d'administració i forçar l'ús de HTTPS amb certificats actualitzats. Canviar contrasenyes d'administrador per variants més robustes i úniques i activar autenticació multifactor quan sigui possible és una altra capa bàsica de protecció.
Un punt clau és la revisió contínua dels registres d'activitat i dels logs d'aparellament de dispositius . Identificar connexions de peering no autoritzades, intents fallits d'autenticació des d'orígens sospitosos o augments de trànsit en API de gestió pot donar pistes primerenques que algú està intentant explotar alguna de les vulnerabilitats conegudes.
En entorns Nexus i ACI, a més d'instal·lar les versions corregides de NX‑OS i firmware, és recomanable segmentar acuradament les VLAN de gestió , limitar l'accés a SNMP i LLDP des de segments d'administració ben controlats i aplicar llistes de control d'accés a la capa 2 i 3 que acotin l'abast d'atacs adjacents.
Per part seva, les organitzacions que depenen fortament de Cisco ISE i altres plataformes d'IAM haurien de revisar l' exposició de les interfícies d'administració a través de VPN, xarxes Wi-Fi de convidats o accessos remots de tercers . Introduir salts intermedis (bastion hosts), segmentar la xarxa de gestió i supervisar amb especial atenció les trucades a API i canvis de configuració redueix dràsticament la probabilitat d'un compromís silenciós.
Per sobre de tot, convé institucionalitzar processos d' auditoria periòdica, escanejos de vulnerabilitats i revisió de configuracions basats en guies oficials com el Cisco Catalyst SD-WAN Hardening Guide o les millors pràctiques de seguretat de Cisco per a entorns de tallafocs i switches. Complementar aquestes revisions amb formació contínua al personal tècnic i amb l'ús de solucions de monitoratge basades en intel·ligència artificial ajuda a detectar patrons inusuals abans que l'incident es converteixi en una bretxa greu.
Importància d'un cicle d'actualització continuada i visió global de seguretat
Tot aquest context d'avisos i pegats fa palès que les xarxes empresarials estan en un estat de canvi constant i que la superfície d'atac s'amplia amb cada nova funcionalitat que s'habilita. Cisco, com un dels grans actors del sector, respon amb paquets d'actualitzacions cada cop més amplis, i és responsabilitat de les organitzacions integrar-los al full de ruta de manteniment sense bloquejar el negoci.
Les vulnerabilitats en equips de xarxa no només suposen un problema tècnic; també afecten la confiança de clients, col·laboradors i reguladors . Un error crític sense corregir en un tallafoc perimetral, un controlador SD-WAN o un sistema de gestió d'identitats pot derivar en robatori de dades, interrupció de serveis o incidents que acabin en sancions normatives i danys reputacionals difícils de mesurar.
Per això, moltes empreses opten per treballar amb proveïdors especialitzats en desenvolupament de solucions a mida amb ciberseguretat incorporada des del disseny . Aquest enfocament permet integrar serveis al núvol com AWS o Azure sense perdre de vista els requisits de seguretat, acompanyant les migracions amb un redisseny de les polítiques d'accés, monitorització i resposta davant d'incidents.
Al final, la forma més realista de protegir la infraestructura de xarxa passa per combinar actualitzacions ràpides, enduriment de configuració, segmentació intel·ligent, monitoratge avançat i capacitació contínua dels equips. Les actualitzacions crítiques de Cisco que s'han anat publicant no fan sinó recordar que qualsevol component de xarxa —per sòlid que sembli— es pot convertir en el punt d'entrada d'un incident greu si no es manté al dia i dins d'una estratègia de seguretat integral.
