Η Cisco δημοσίευσε κρίσιμη ενημέρωση ασφαλείας για το λειτουργικό σύστημα IOS XR, γνωστοποιώντας την αντιμετώπιση πολλαπλών ευπαθειών που εντοπίστηκαν στο πλαίσιο εσωτερικού ελέγχου ασφαλείας. Η αρχική ανακοίνωση εκδόθηκε στις 2 Σεπτεμβρίου 2026 και επικαιροποιήθηκε μία ημέρα αργότερα, με πρόσθετες διευκρινίσεις σχετικά με τις επηρεαζόμενες οπτικές πλατφόρμες και τη διαθεσιμότητα των κατάλληλων Software Maintenance Upgrades.
Οι αδυναμίες οργανώθηκαν σε επτά κατηγορίες και καταγράφηκαν με τα αναγνωριστικά CVE-2026-20274 έως CVE-2026-20280. Η σοβαρότερη από αυτές βαθμολογήθηκε με 9,8 στην κλίμακα CVSS, γεγονός που την κατατάσσει στο κρίσιμο επίπεδο επικινδυνότητας. Οι κατηγορίες περιλαμβάνουν, μεταξύ άλλων, προβλήματα διαχείρισης πόρων, ελλιπή έλεγχο πρόσβασης, λανθασμένους υπολογισμούς, ανεπαρκή διαχείριση της ροής εκτέλεσης και αδυναμίες στην επεξεργασία μη αξιόπιστων δεδομένων.
Σύμφωνα με τη Cisco, επηρεάζονται όλες οι εκδόσεις του IOS XR Software, συμπεριλαμβανομένου του IOS XR7, ανεξάρτητα από τη διαμόρφωση της συσκευής. Το IOS XR χρησιμοποιείται σε υποδομές δικτύων υψηλής διαθεσιμότητας, όπως δρομολογητές παρόχων τηλεπικοινωνιών, μεγάλα εταιρικά δίκτυα και κρίσιμες εγκαταστάσεις. Για τον λόγο αυτόν, οι συγκεκριμένες ευπάθειες απαιτούν ιδιαίτερη προσοχή από τους διαχειριστές υποδομών, ακόμη και όταν δεν έχουν καταγραφεί ενδείξεις παραβίασης.
Η εταιρεία διευκρινίζει ότι δεν υπάρχουν διαθέσιμες εναλλακτικές μέθοδοι περιορισμού του κινδύνου. Η αποτελεσματική αντιμετώπιση προϋποθέτει αναβάθμιση σε διορθωμένη έκδοση και, όπου απαιτείται, εγκατάσταση των αντίστοιχων SMUs. Ανάλογα με την έκδοση και την πλατφόρμα, μπορεί να χρειαστεί η εφαρμογή πολλαπλών πακέτων συντήρησης. Οι μελλοντικές εκδόσεις IOS XR 26.2.2 και 26.3.1 αναμένεται να είναι οι πρώτες που θα ενσωματώνουν πλήρως τις διορθώσεις χωρίς να απαιτούν πρόσθετα SMUs.
Οι ευπάθειες εντοπίστηκαν από την ομάδα ανάπτυξης του IOS XR κατά τη διάρκεια εσωτερικών δοκιμών, στις οποίες χρησιμοποιήθηκαν υφιστάμενες διαδικασίες ελέγχου αλλά και προηγμένα μοντέλα τεχνητής νοημοσύνης. Μέχρι τη δημοσίευση της ανακοίνωσης, η Cisco PSIRT δεν είχε εντοπίσει δημόσια γνωστοποίηση τεχνικών λεπτομερειών ούτε κακόβουλη εκμετάλλευση των αδυναμιών.
Οι οργανισμοί καλούνται να καταγράψουν άμεσα τις εγκαταστάσεις IOS XR, να ελέγξουν τις εκδόσεις που χρησιμοποιούν και να προγραμματίσουν τις απαραίτητες αναβαθμίσεις. Η απουσία ενεργής εκμετάλλευσης δεν μειώνει την ανάγκη άμεσης δράσης, καθώς η δημοσιοποίηση των ευπαθειών μπορεί να οδηγήσει στην ανάπτυξη σχετικών επιθέσεων.
