Cisco ha lanzado actualizaciones de seguridad para una vulnerabilidad crítica de Cisco Expressway que podría permitir que atacantes remotos ejecuten comandos del sistema operativo como root.

Identificada como CVE-2026-76466, la falla tiene una puntuación CVSS de 9.8 y afecta a los dispositivos Expressway vulnerables configurados en un clúster. Cisco publicó su aviso el 21 de octubre de 2026.

El problema afecta a Cisco Expressway Core (Expressway-C) y Cisco Expressway Edge (Expressway-E). Tanto los despliegues virtuales como los dispositivos de hardware se ven afectados cuando ejecutan software vulnerable con el clúster habilitado. Una explotación exitosa podría dar a los atacantes el control sobre el sistema operativo subyacente.

Según el aviso de seguridad de Cisco, la debilidad reside en el servicio de base de datos e involucra cookies persistentes. Cisco también descubrió que los certificados de cliente no se verifican correctamente cuando el clúster habilita el Modo de Verificación TLS. Esto significa que el ajuste habilitado no proporciona la validación de certificados esperada.

Un atacante que posea las cookies requeridas y acceso de red a un dispositivo afectado podría conectarse a su servicio de base de datos e invocar comandos específicos de llamada a procedimiento remoto. Estas llamadas podrían permitir al atacante ejecutar comandos con privilegios de root, el nivel más alto de acceso en el sistema.

Vulnerabilidad de Cisco Expressway

Aunque Cisco describe al atacante como no autenticado, la posesión de las cookies sigue siendo un requisito importante. El aviso no explica cómo un atacante podría obtenerlas.

Por lo tanto, debes evitar interpretar este hallazgo como prueba de que un atacante puede comprometer inmediatamente cualquier dispositivo Expressway accesible.

El impacto potencial se asemeja a otros casos cubiertos en los informes de Cyber Security News sobre fallas críticas de ejecución remota de código de Cisco, aunque los productos afectados y los métodos de ataque difieren.

Cisco indica que las versiones Expressway X15.5.3 y anteriores están afectadas, identificando la X15.5.20 como la primera versión corregida. Si usas X14 o versiones anteriores, debes migrar a una versión corregida. No existen soluciones temporales para abordar esta vulnerabilidad.

La corrección también está incluida en la versión más amplia de refuerzo de seguridad de Expressway de octubre de 2026 de Cisco. Esa versión aborda debilidades adicionales descubiertas durante una revisión de seguridad interna.

A diferencia de esta falla específica de clúster, el aviso de refuerzo general cubre los dispositivos Expressway-C y Expressway-E afectados independientemente de su configuración. Debes revisar las versiones instaladas y la configuración del clúster, y luego planificar las actualizaciones utilizando la guía de compatibilidad de Cisco.

Verificar solo la versión no establece la exposición, ya que esta vulnerabilidad particular también requiere un despliegue en clúster. Puedes encontrar una cobertura más amplia a través de las actualizaciones de seguridad de Cisco de Cyber Security News.

Cisco acreditó a Stefan Aleksic de Jane Street por reportar la vulnerabilidad. Al momento de la publicación, su Equipo de Respuesta a Incidentes de Seguridad de Productos afirmó que no tenía conocimiento de anuncios públicos o uso malicioso. Esa declaración no reduce la necesidad de que parches tus clústeres afectados, dada la posibilidad de que se ejecuten comandos remotos como root.