Fecha de emisión: 5 de octubre de 2026
CVE ID: CVE-2026-20267
Severidad: CRÍTICA — CVSS 3.1: 9.0
Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-284: Control de acceso incorrecto
Producto afectado: Cisco IOS XE
Explotación activa: No — Cisco PSIRT no tiene conocimiento de explotación ni de anuncios públicos
Fuente: NVD / Cisco PSIRT
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de control de acceso incorrecto en Cisco IOS XE, registrada como CVE-2026-20267 y calificada con 9.0 de 10 en la escala CVSS 3.1.
La vulnerabilidad fue descubierta internamente por Cisco y corregida en la publicación de endurecimiento de seguridad (Security Hardening Release) de IOS XE de agosto de 2026. A la fecha, Cisco PSIRT no tiene conocimiento de explotación activa ni de anuncios públicos; aun así, por su severidad se recomienda actualizar con prioridad.
Descripción técnica publicada en NVD (en inglés): «As part of Cisco’s ongoing commitment to proactive security and product quality, the Cisco IOS XE Software engineering team has conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20267 are related to improper access control issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-284.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Cisco IOS XE | 16.x y 17.1 a 17.8 | Migrar a una versión corregida |
| Cisco IOS XE | 17.9 (anteriores a 17.9.10) | 17.9.10 |
| Cisco IOS XE | 17.10 y 17.11 | Migrar a una versión corregida |
| Cisco IOS XE | 17.12 (anteriores a 17.12.8) | 17.12.8 |
| Cisco IOS XE | 17.13 y 17.14 | Migrar a una versión corregida |
| Cisco IOS XE | 17.15 (anteriores a 17.15.6) | 17.15.6 |
| Cisco IOS XE | 17.16 y 17.17 | Migrar a una versión corregida |
| Cisco IOS XE | 17.18 (anteriores a 17.18.4) | 17.18.4 o 17.18.4a |
| Cisco IOS XE | 26.1 (anteriores a 26.1.2) | 26.1.2 |
Versiones corregidas según el aviso del fabricante cisco-sa-hardening-iosxe-V8NMuMZJ (publicado el 5 de agosto de 2026). Para los trenes sin versión corregida, migrar a uno de los trenes indicados. Se recomienda usar Cisco Software Checker para confirmar la versión adecuada para cada equipo.
III. Acciones Requeridas
1. Actualizar inmediatamente
Aplicar la actualización de seguridad publicada por Cisco (ver referencias).
2. Reducir la exposición mientras se actualiza
Cisco indica que no existen soluciones alternativas (workarounds) para estas vulnerabilidades; la única corrección es actualizar. Mientras tanto, restringir el acceso a las interfaces de administración del equipo únicamente a redes y direcciones de confianza.
3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. Revisar los registros y el sistema en busca de actividad inusual desde antes de la actualización (cuentas nuevas, archivos o procesos desconocidos, conexiones salientes no habituales) y reportar cualquier hallazgo a incidentes@cert.pa.
4. Detección
A la fecha no se han publicado indicadores de compromiso (IoC). Cisco ofrece reglas Snort (SID 66891 a 66898) para detectar intentos de explotación; se recomienda habilitarlas en los sistemas de detección/prevención de intrusos que las soporten.
IV. Referencias
- Cisco PSIRT. Cisco IOS XE Software Security Hardening Release: August 2026 (cisco-sa-hardening-iosxe-V8NMuMZJ). https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-iosxe-V8NMuMZJ
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-20267. https://nvd.nist.gov/vuln/detail/CVE-2026-20267
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Teléfono: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124