Tres nuevos avisos de seguridad y una actualización

CVE-2026-10094: vulnerabilidad de tipo Path Traversal que se produce por un error de validación de entrada al procesar secuencias de recorrido de directorios. Un atacante remoto puede enviar peticiones HTTP especialmente diseñadas y escribir archivos arbitrarios en el sistema.

• CVE-2026-20181: un atacante en remoto con credenciales de administrador válidas puede ejecutar comandos arbitrarios en el sistema operativo del dispositivo. La vulnerabilidad se produce por una validación insuficiente de la entrada proporcionada por el usuario. Un atacante puede explotar esta vulnerabilidad enviando una solicitud HTTP manipulada al dispositivo afectado. Si se explota con éxito un atacante puede obtener acceso al sistema operativo con privilegios de usuario y desde ahí incrementar sus privilegios a nivel de root. En entornos de un único nodo, si se explota la vulnerabilidad con éxito, puede hacer que el nodo ISE quede inoperativo y que los endpoints que aún no se hayan autenticado no puedan acceder a la red hasta que el nodo sea restaurado.
• CVE-2026-20190: un atacante en remoto no autenticado puede ver información sensible en el dispositivo afectado. La vulnerabilidad se produce por que no se comprueba adecuadamente la autorización cuando accede un recurso. Un atacante  puede explotar esta vulnerabilidad enviando tráfico manipulado al dispositivo afectado. Si se explota con éxito se puede hacer que el atacante acceda a información sensible, incluidos hashes de credenciales que luego se pueden usar para futuros ataques.

Las vulnerabilidades de severidad crítica son:

• CVE-2026-42055: un atacante en remoto, y no autenticado, en condiciones fuera de su control, podría enviar encabezados de gran tamaño al generar una solicitud ascendente (upstream). Esto puede causar un desbordamiento de búfer basado en montículo en el proceso de trabajo NGINX que provoque un reinicio. Además, los atacantes pueden ejecutar código en sistemas con Address Space Layout Randomization (ASLR) deshabilitado o cuando el atacante lo puede omitir. Cabe destacar que esta vulnerabilidad solo es explotable bajo configuraciones específicas; los dispositivos que mantienen la configuración predeterminada no se ven afectados.
• CVE-2026-42530: un atacante remoto no autenticado podría, bajo condiciones fuera de su control, utilizar una sesión HTTP/3 especialmente manipulada para reabrir un flujo (stream) del codificador QPACK. Esto puede provocar una vulnerabilidad de use-after-free en el proceso worker de NGINX, causando su reinicio inesperado. Además, el atacante podría lograr la ejecución de código en sistemas que tengan deshabilitada la protección ASLR (Address Space Layout Randomization) o si consigue evadirla.

El resto de vulnerabilidades se pueden consultar en los enlaces de las referencias.

CVE-2026-20182: la vulnerabilidad se encuentra en el protocolo de enlace de la conexión de control. Este fallo en la autenticación de interconexión podría permitir a un atacante no autenticado y en remoto, evitar la autenticación y obtener privilegios de administrador en el sistema afectado. Para explotar la vulnerabilidad, un atacante podría enviar solicitudes manipuladas al sistema vulnerable; si el ataque tiene éxito, este accederá al sistema con una cuenta interna con muchos privilegios, pero no root. Con esta cuenta, el atacante puede acceder a NETCONF y ahí manipular la configuración de la red para SD-WAN.

CISCO informa de que la vulnerabilidad está siendo explotada.