Cisco, Üç Kritik Kusur Dahil Sekiz IOS XR Açığını Yamadı

Cisco, IOS XR işletim sistemini etkileyen ve üçü kritik olarak derecelendirilen sekiz güvenlik açığını yamadı. Şirket, açıkların hiçbirinin gerçek dünyada istismar edildiğine dair kanıt bulunmadığını söyledi.

Cisco bulgularını 2 Eylül'de yayımlanan iki güvenlik duyurusunda açıkladı. Duyurulardan biri, CVE-2026-20274 ve CVE-2026-20279 dahil yedi açığı kapsıyor. Bu iki açık da 9.8/10 olarak derecelendirildi. Açıklar, cihaz yapılandırmasından bağımsız olarak Cisco IOS XR Software'ın tüm sürümlerini, Cisco IOS XR7 (LNT) Software dahil, etkiliyor. Cisco, kullanılabilir bir geçici çözüm olmadığını ve sağlanan yamayı yüklemenin tek azaltma yöntemi olduğunu belirtti.

Üçüncü kritik açık CVE-2026-20212, Silicon One ASIC içeren Cisco Nexus 9000 Series Switches modellerini etkiliyor. Başarılı bir istismar, saldırganların etkilenen cihaza bağlanmasına ve root ayrıcalıkları olmadan kod olarak çalıştırılabilecek özel hazırlanmış girdi göndermesine izin verebilir. Cisco, istismarın S1HAL sürecini çökerterek cihazın yeniden yüklenmesine de neden olabileceğini söyledi.

Cisco, müşterilerini yamaları mümkün olan en kısa sürede uygulamaya çağırdı. Şirket, CVE-2026-20212 için altyapı erişim kontrol listelerini, yani iACLs'i, olası geçici çözümler arasında gösterdi. Bu listeler, yönetim ve kontrol düzlemi trafiğini kısıtlayabilir veya yerel olarak yapılandırılmış IP adreslerine 43210 ya da 43211 hedef portlarından gönderilen TCP paketlerini engelleyebilir.