Cisco corrige duas falhas 9,8 no IOS XR — não existe contorno

A Cisco publicou em 2 de setembro de 2026 e atualizou no dia 4 o aviso que corrige as vulnerabilidades CVE-2026-20274 e CVE-2026-20279 no Cisco IOS XR Software. As duas têm pontuação CVSS máxima de 9,8, afetam todos os releases — inclusive o IOS XR7 (LNT) — independentemente da configuração e não dispõem de contorno, segundo o aviso oficial da Cisco.

A correção requer duas ações: migrar para um release que já tenha Software Maintenance Updates (SMUs) disponíveis e instalar os pacotes aplicáveis à plataforma e às áreas funcionais em uso. A cobertura do TechRadar Pro, publicada em 4 de setembro, confirma a gravidade, a abrangência sobre todas as versões e a ausência de exploração conhecida naquele momento.

O que as duas notas 9,8 representam

A CVE-2026-20274 agrupa problemas classificados como CWE-664, controle inadequado de um recurso durante seu ciclo de vida. A categoria reúne diferentes classes de defeitos, incluindo estouros de buffer, leituras e gravações fora dos limites, uso de memória após liberação, erros de truncamento numérico e alocação de recursos sem limites.

A CVE-2026-20279 corresponde à CWE-284, controle de acesso inadequado. O grupo abrange problemas como validação incorreta de certificados, ausência de autenticação em função crítica e falhas de autorização.

A nota 9,8 exige uma leitura precisa: cada CVE representa um conjunto de descobertas internas agrupadas pela classe de fraqueza. A pontuação é a gravidade máxima do problema subjacente mais severo em cada grupo. O vetor publicado para o aviso descreve ataque pela rede, baixa complexidade, sem privilégios prévios ou interação do usuário, com impacto elevado sobre confidencialidade, integridade e disponibilidade; ele não detalha separadamente as condições de exploração de cada defeito agrupado.

Por que a configuração não retira o equipamento do escopo

A condição de produto vulnerável é definida pelo release, não pela ativação de uma função específica. Por isso, desabilitar um protocolo, restringir o plano de gerenciamento ou reforçar listas de controle de acesso não faz um sistema sem correção deixar de constar entre os afetados.

Esses controles podem limitar caminhos de acesso durante a janela de manutenção, mas não são reconhecidos como contorno para as duas CVEs e não corrigem o código vulnerável. A remediação completa depende da combinação indicada de release e SMUs.

A matriz funcional traz exceções limitadas. BGP aparece como não vulnerável nos trains 7.10 e anteriores e no release 26.2.1; segment routing IPv6 não é vulnerável em 26.1.2 e 26.2.1; e ZTP tem a mesma indicação em 26.2.1. Essas exceções determinam quais pacotes se aplicam a uma função, mas não tornam automaticamente todo o release imune às demais classes de vulnerabilidade.

Checklist por família de release

A matriz separa versões com pacotes disponíveis, versões cujos SMUs ainda estavam planejados e releases futuros que incorporarão as correções. A análise técnica da Secure ISS reproduz essa distinção e ressalta que a aplicabilidade varia conforme a plataforma e a área funcional.

• Famílias 7.x: há SMUs para 7.3.2, exclusivamente no NCS 1002 óptico; 7.9.2 e 7.9.21; 7.10.2; 7.11.2 e 7.11.21.
• Família 24.x: os pacotes estão disponíveis para 24.2.2, 24.2.21 e 24.4.2. Os SMUs de 24.1.2 e 24.3.2 ainda figuram como futuros.
• Família 25.x: há SMUs para 25.2.21; para 25.4.1 somente nas plataformas ópticas NCS 1001, NCS 1004 e NCS 1010; e para 25.4.2 nas plataformas não ópticas. Os pacotes de 25.1.2 e 25.2.2 permanecem planejados.
• Família 26.x: existem SMUs para 26.1.2 e 26.2.1. Os futuros 26.2.2 e 26.3.1 serão os primeiros releases com as correções incorporadas, sem necessidade desses SMUs adicionais.

Uma versão-base citada na matriz não está necessariamente corrigida por si só. Quando a linha informa que há SMUs disponíveis, a migração para esse release precisa ser acompanhada pela instalação dos pacotes pertinentes. Para uma versão que não apareça na relação, a orientação é abrir uma solicitação no Cisco Technical Assistance Center ou consultar a organização responsável pelo suporte.

A sequência entre atualização e SMUs

O inventário deve combinar release, plataforma e áreas funcionais. Nos equipamentos XR7 (LNT), o comando show version permite identificar a variante pela presença de “LNT” na saída; entre as plataformas desse grupo estão Cisco 8000 Series, NCS 1010, NCS 540L e NCS 5700 Series.

1. Identificar a versão e o hardware de cada equipamento, distinguindo plataformas ópticas, não ópticas e XR7 (LNT).
2. Selecionar um release compatível que já tenha SMUs disponíveis. Uma entrada marcada como futura ainda não oferece uma correção implantável.
3. Relacionar os pacotes às funções utilizadas, como BGP, gRPC, MPLS, OSPF, multicast, segment routing e ZTP. Nem todo SMU se aplica a todos os releases e equipamentos.
4. Atualizar para o release escolhido e depois instalar todos os SMUs pertinentes. O aviso estima que pode haver aproximadamente 16 pacotes por release para cobrir as classes de vulnerabilidade tratadas.
5. Confirmar o release ativo e os pacotes instalados, registrando os identificadores aplicados em cada equipamento.

A revisão 1.3 do aviso substituiu alguns identificadores de SMU e esclareceu o tratamento dos releases 26.1.2 e 26.2.1. Uma lista extraída antes da atualização de 4 de setembro pode, portanto, conter identificadores superados.

O que ainda depende de novos pacotes

Há combinações corrigíveis agora, mas os SMUs de 24.1.2, 24.3.2, 25.1.2 e 25.2.2 continuavam classificados como futuros na revisão verificada. Os releases 26.2.2 e 26.3.1, que deverão trazer a correção incorporada, também permaneciam futuros.

As vulnerabilidades foram encontradas em testes internos, e não havia registro de anúncio público ou uso malicioso conhecido até a revisão de 4 de setembro. Isso não reduz a classificação crítica nem muda a remediação: onde não for possível adotar imediatamente uma combinação atendida pela matriz, controles de rede são apenas redução temporária de exposição, não um contorno oficial.

Leia também:

• E-mail S/MIME da Cisco pode vazar texto claro — não há contorno
• Hugging Face não é só um catálogo de modelos — saiba o que verificar antes de usar
• WhatsApp troca PIN por senha — e ela não expulsa quem já invadiu a conta