Уязвимости в Cisco Expressway Series позволяют удалённому пользователю без учётных данных выполнить команды операционной системы с правами root и получить чувствительные данные. Участие пользователя не требуется, достаточно сетевого доступа к устройству. Под эти уязвимости попадают Expressway-C и Expressway-E в виртуальном и аппаратном исполнении. Cisco подтвердила наличие уязвимостей тремя уведомлениями от 21 октября 2026 года.
Три уведомления Cisco Expressway от 21 октября 2026
Тяжелейшая из проблем носит идентификатор CVE-2026-76466 и оценена в 9.8 из 10 по шкале CVSS (общая система оценки уязвимостей). Она затрагивает службу базы данных, которая связывает устройства Expressway в кластер. Уязвимость возникла из-за постоянных cookie (данные, которые устройство сохраняет и затем повторно использует между сессиями) и из-за того, что при включённом режиме проверки TLS клиентские сертификаты не проверяются. Получив такие cookie, злоумышленник подключается к службе базы данных и вызывает нужные процедуры удалённого вызова (RPC, вызов функций на другой машине). В результате он выполняет произвольные команды с правами root, то есть с максимальными правами в системе.
Атака идёт по сети, учётные данные и участие пользователя не требуются. Есть ограничение по конфигурации: уязвимы только устройства, объединённые в кластер, одиночная установка не подпадает. Других условий вендор не приводит и отсылает к разделу с деталями в описании ошибки CSCww27732 на своём портале.
Вторая уязвимость, CVE-2026-76435 с оценкой 5.3 из 10, приводит к раскрытию информации. Причина в слабой проверке прав на HTTP-запросы при подготовке мобильного и удалённого доступа (MRA): так называется схема, по которой внешние клиенты подключаются к внутренним сервисам через Expressway-E. Специально составленный запрос к устройству отдаёт данные, на которые у отправителя нет прав. Атака идёт по сети и не требует учётных данных, а настройки роли не играют: уязвимы все установки Expressway-C и Expressway-E, включая одиночные.
Третье уведомление объединяет восемь уязвимостей, найденных при внутренней проверке кода. Cisco сгруппировала их по классам слабостей (CWE) и выдала по одному идентификатору на группу; максимальная оценка в наборе - 8.6 из 10. В списке ошибки назначения прав на критичные ресурсы, разыменование нулевого указателя (обращение к пустой ссылке, из-за которого процесс завершается), необработанные исключения, внедрение кода, небезопасные временные файлы и переход по ссылке при доступе к файлу. Вендор отмечает, что эти уязвимости выявлены при внутреннем тестировании, в том числе с привлечением моделей искусственного интеллекта. Отдельные уведомления по конкретным случаям из этого набора не исключены.
Исправления вышли в двух версиях. Раскрытие информации закрывает X15.5.3, а выполнение команд и весь набор из третьего уведомления - X15.5.20, который содержит и более раннюю правку. Cisco отдельно указывает, что правка для выполнения команд вошла в более широкий набор улучшений безопасности, выпущенный в октябре. Для ветки X14 и более старых выпусков готового исправления нет, вендор предписывает перейти на поддерживаемую ветку. Обходных мер нет ни для одной из уязвимостей, об этом сказано прямо в каждом уведомлении.
Сведений об эксплуатации в реальных атаках нет. PSIRT, группа реагирования Cisco на инциденты безопасности, не знает ни о публичных объявлениях, ни о вредоносном использовании этих уязвимостей. Публикация уведомления означает только доступность технических деталей, а не применение в атаках. Раскрытие информации обнаружили при разборе обращения в службу поддержки TAC, выполнение команд - по сообщению внешнего исследователя.
Сначала проверьте, объединены ли устройства в кластер. От этого зависит, подпадает ли установка под самую тяжёлую уязвимость. Затем обновите Expressway-C и Expressway-E до X15.5.20, поскольку этот выпуск закрывает все три группы проблем. Пока обновление не установлено, ограничьте сетевой доступ к интерфейсам Expressway и следите за обновлениями уведомлений; других обходных мер вендор не предлагает. Значимость высокая: самая тяжёлая уязвимость даёт права root без учётных данных, а затронуты обе платформы в любом исполнении.
Ссылки
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-exwy-hardening-FhcqBVcs
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-inf-disc-vvYqgSTS
