El 21 de octubre de 2026, Cisco emitió un aviso de seguridad confirmando una vulnerabilidad crítica (CVE-2026-76466) con una puntuación CVSS de 9.8 que afecta a sus dispositivos Cisco Expressway Core (Expressway-C) y Cisco Expressway Edge (Expressway-E). Esta falla permite a un atacante remoto no autenticado tomar el control total del sistema operativo subyacente ejecutando comandos con privilegios máximos (root). La vulnerabilidad afecta tanto a implementaciones virtuales como a dispositivos de hardware, pero con una condición estricta: el dispositivo debe tener habilitada la función de clúster. Hasta el momento de la publicación del aviso, el Equipo de Respuesta a Incidentes de Cisco no tiene constancia de explotación activa ni de pruebas de concepto (PoC) públicas.
Análisis Técnico y Vectores de Riesgo
El riesgo operativo de esta vulnerabilidad es crítico, aunque su explotación requiere condiciones previas específicas:
- Vector de Base de Datos y Cookies Persistentes: La vulnerabilidad reside en el servicio de base de datos del clúster y está estrechamente relacionada con el manejo de cookies persistentes.
- Fallo en Validación Criptográfica: Se descubrió que los certificados de cliente no se verifican correctamente cuando el clúster tiene habilitado el modo de verificación TLS, inutilizando esta capa de protección.
- Mecánica de Explotación (RCE): Un atacante que posea las cookies necesarias y tenga acceso de red al dispositivo afectado puede conectarse directamente al servicio de base de datos. Desde allí, puede invocar comandos específicos de Llamada a Procedimiento Remoto (RPC) para ejecutar comandos en el sistema operativo con privilegios de administrador (root).
- Barrera de Entrada: Aunque el ataque se clasifica como “no autenticado”, la necesidad de que el atacante posea las cookies persistentes representa un requisito técnico importante (cuyo método de obtención no ha sido detallado en el aviso), lo que previene por ahora el compromiso inmediato y masivo de todos los dispositivos expuestos.
Plan de Mitigación Operativa y Respuesta
- Auditoría de Configuración (Condición de Clúster): El primer paso es determinar si los dispositivos Expressway (C o E) operan en modo clúster. Si operan como nodos independientes (sin función de clúster habilitada), no son vulnerables a este CVE específico.
- Identificación de Versiones Vulnerables: Están afectadas todas las versiones de Expressway X15.5.3 y anteriores.
- Despliegue de Actualizaciones:
- Actualizar inmediatamente la infraestructura a la versión corregida: X15.5.20.
- Los clientes que aún operen en ramas legacy (X14 o versiones anteriores) deben planificar una migración forzosa hacia una versión actual y parcheada.
