Nove falhas da Cisco atingem o plano de controlo

Dois avisos, um dia, nove falhas

A Cisco publicou dois avisos de segurança distintos a 19 de agosto de 2026, revelando nove vulnerabilidades em duas das suas linhas de produtos mais sensíveis. O primeiro aviso, 'Cisco Crosswork Security Hardening Release: August 2026', abrange o Crosswork Data Gateway, o Crosswork Network Controller, o Crosswork Planning e o Crosswork Workflow Manager. O segundo, 'Cisco Secure Workload Software Security Hardening Release: August 2026', abrange o Cisco Secure Workload, tanto na versão SaaS como na versão on-premises.

O Crosswork é a plataforma que os operadores de telecomunicações e as grandes redes empresariais usam para automatizar de forma programática a sua infraestrutura de rede, enquanto o Secure Workload é um produto de microssegmentação e confiança zero que aplica políticas entre cargas de trabalho. Em conjunto, os dois avisos listam quatro e cinco CVE respetivamente, nove no total.

O próprio aviso da Cisco declara claramente que a empresa não tem 'conhecimento de anúncios públicos ou de utilização maliciosa das vulnerabilidades descritas neste aviso', para ambas as publicações. The Hacker News e a SecurityWeek noticiaram ambos os avisos depois de a Cisco os ter publicado.

Nove CVE, cinco pontuações máximas

As nove vulnerabilidades abrangem injeção de SQL, autenticação em falta, controlo externo do sistema de ficheiros, controlo de acesso inadequado, autenticação inadequada, injeção de comandos, falhas de validação de entrada e um transbordamento de buffer. Cinco das nove atingem a pontuação máxima possível de CVSS 10.0, e uma sexta fica em 9.9, uma concentração invulgar de pontuações próximas do máximo num único dia de publicações.

A Cisco indica uma versão corrigida para cada produto afetado: o Crosswork Data Gateway, o Crosswork Network Controller e o Crosswork Planning passam todos para 7.2.1-SP, o Crosswork Workflow Manager passa para 2.1.1-SP, e o Secure Workload passa para 3.10.9.1 ou 4.0.4.16, consoante o ramo de lançamento. A Cisco declara explicitamente que não existe contorno para nenhum dos dois avisos, pelo que a versão corrigida é a única mitigação disponível.

O plano de controlo carrega um raio de impacto maior

O Crosswork e o Secure Workload não são aplicações comuns, são o plano de controlo que faz funcionar e protege a rede à sua volta. O Crosswork automatiza a própria infraestrutura de rede, e o Secure Workload aplica os limites de microssegmentação e confiança zero entre cargas de trabalho, pelo que uma falha numa destas ferramentas carrega um raio de impacto categoricamente maior do que uma falha num único ponto final ou numa única aplicação.

Uma injeção de SQL não autenticada ou uma falha de autenticação em falta com CVSS 10.0 no Crosswork não expõe apenas o próprio servidor Crosswork, pode potencialmente alcançar todos os dispositivos que a plataforma está autorizada a automatizar, porque comprometer a ferramenta que controla tudo o resto pode comprometer tudo o que essa ferramenta controla. A mesma lógica aplica-se ao Secure Workload, onde uma falha de controlo de acesso ou autenticação com pontuação máxima, no próprio produto que aplica os limites de segmentação, ameaça desfazer o isolamento para o qual foi implementado.

Este é o padrão que os operadores devem ponderar acima dos números de CVE individuais. O software de orquestração e de aplicação de políticas situa-se acima dos sistemas que gere, pelo que a sua própria postura de segurança define um teto para a segurança de tudo o que está por baixo.

A Cisco encontrou estas falhas antes de todos

Ambos os avisos são o resultado da própria revisão interna de segurança de engenharia da Cisco, não um relato de um investigador externo nem uma resposta a exploração ativa. A maioria das divulgações nesta área só chega aos operadores depois de um investigador externo ou de um atacante em circulação forçar a mão do fornecedor.

Encontrar cinco vulnerabilidades com pontuação máxima através de revisão interna antes de qualquer pessoa externa é trabalho de segurança genuinamente proativo, e merece ser reconhecido como tal. Também levanta uma questão justa para os operadores sobre o seu próprio software de plano de controlo: se uma única revisão interna na Cisco descobriu nove falhas desta gravidade numa única passagem, é provável que plataformas equivalentes de outros fornecedores ainda não tenham recebido o mesmo nível de escrutínio.

O caminho de correção para ambos os avisos

Como nenhum dos avisos oferece um contorno, a própria atualização é a única mitigação real. Os clientes do Crosswork Data Gateway, do Crosswork Network Controller e do Crosswork Planning precisam da versão 7.2.1-SP, e os clientes do Crosswork Workflow Manager precisam da versão 2.1.1-SP.

Os clientes do Secure Workload na Release 3.10 ou anterior precisam da 3.10.9.1, e os que estão na Release 4.0 precisam da 4.0.4.16. Os clientes SaaS só precisam de atualizar os seus componentes Agent e Connector, uma vez que a Cisco gere o próprio cluster, enquanto os clientes on-premises têm de atualizar o Cluster, o Agent e o Connector em conjunto.

Ainda não explorado descreve a situação de hoje, e essa situação pode mudar. Sem qualquer contorno disponível, agendar a atualização é a única ação que efetivamente fecha a exposição.

Leia a seguir: A falha Cisco sob ataque teve apenas 5,3  |  Uma falha da Cisco com 18 anos tem agora um prazo de 3 dias