CVE-2026-20274 i CVE-2026-20279: wydanie hardeningowe Cisco IOS XR — luki bez obejścia

Podsumowanie

Parametr	Wartość
CVE ID (wpis wiodący)	CVE-2026-20274
Objętych podatności	2 (CVE-2026-20274, CVE-2026-20279) — advisory Cisco obejmuje łącznie 7 identyfikatorów
Źródło alertu	GitHub Advisory - podatności krytyczne
Rok publikacji CVE	2026
Data publikacji	2026-09-02
Producent	Cisco
Produkt	IOS XR Software (w tym IOS XR7 / LNT)
CVSS Score	9.8 oraz 9.8 (Krytyczny)
Wektor CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Obejście	Brak (Workarounds: No)
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Zespół inżynierski Cisco IOS XR przeprowadził wewnętrzny przegląd bezpieczeństwa, którego efektem są wydania hardeningowe zamykające wiele wykrytych wewnętrznie podatności. Advisory cisco-sa-hardening-iosxr-qg64NcM grupuje je w siedem klas według kategorii CWE i przypisuje każdej klasie jeden identyfikator CVE. Do naszego kanału alertowego trafiły dwa z nich — oba ocenione na 9.8 CVSS:

CVE	CVSS	Klasa (CWE)	Opis klasy
CVE-2026-20274	9.8	CWE-664	nieprawidłowa kontrola zasobu w całym cyklu jego życia — obejmuje kopiowanie do bufora bez sprawdzenia rozmiaru wejścia oraz przepełnienia bufora na stosie i na stercie
CVE-2026-20279	9.8	CWE-284	nieprawidłowa kontrola dostępu

Pełne advisory obejmuje siedem identyfikatorów: CVE-2026-20274, CVE-2026-20275, CVE-2026-20276, CVE-2026-20277, CVE-2026-20278, CVE-2026-20279 i CVE-2026-20280, odpowiadające klasom CWE-284, CWE-664, CWE-682, CWE-691, CWE-693, CWE-703 i CWE-707.

Ważne zastrzeżenie metodologiczne od Cisco: ocena CVSS przypisana do każdego CVE reprezentuje maksymalną potencjalną dotkliwość pojedynczej, najbardziej wpływowej podatności w danej kategorii CWE — nie ocenę każdej luki z osobna. Jeden identyfikator to tu etykieta klasy problemów, nie pojedynczy błąd.

Dlaczego to nie jest rutynowa aktualizacja. Zbiegają się tu trzy okoliczności, z których każda osobno wymuszałaby pilne działanie: podatne są wszystkie wydania IOS XR, niezależnie od konfiguracji urządzenia; nie ma żadnego obejścia; a IOS XR działa na routerach operatorskich i rdzeniowych — w polskim krajobrazie to platformy klasy ASR 9000, NCS czy CRS, przez które przechodzi ruch szkieletowy. Nie ma tu opcji „ograniczymy dostęp do usługi i poczekamy na okno serwisowe”.

Wymagane działania

1. Zinwentaryzuj urządzenia z IOS XR. Podatne są wszystkie wydania, więc pytanie nie brzmi „która wersja”, tylko „gdzie w ogóle mamy IOS XR”. Czy urządzenie działa na IOS XR7 (LNT), sprawdzisz poleceniem:

   RP/0/RP0/CPU0:Router#show version

   Wynik zawierający ciąg LNT oznacza IOS XR7 (LNT).

2. Zaplanuj aktualizację do wydania, dla którego dostępne są SMU, a następnie nałóż wszystkie właściwe SMU. Advisory podaje, że na jedno wydanie może przypadać około 16 poprawek SMU pokrywających podatności z tego biuletynu — to nie jest pojedyncza łatka i wymaga zaplanowanego okna serwisowego.

3. Rozważ ścieżkę docelową bez SMU. Według Cisco pierwszymi wydaniami, które będą zawierać poprawki bez konieczności nakładania SMU, mają być przyszłe 26.2.2 i 26.3.1. Dla środowisk, w których nakładanie kilkunastu SMU jest operacyjnie kosztowne, może to być rozsądniejszy cel — pod warunkiem świadomej akceptacji ryzyka w okresie oczekiwania.

4. Nie licz na obejście. Cisco wprost stwierdza brak obejść. Jedyną kompensacją do czasu aktualizacji jest ograniczenie ekspozycji płaszczyzny zarządzania i sterowania (separacja sieci zarządzania, listy kontroli dostępu na interfejsach zarządzania, CoPP) — to zmniejsza ryzyko, ale nie usuwa podatności.

5. Sprawdź aktualną tabelę wydań z poprawką bezpośrednio w advisory Cisco. Sekcja Fixed Releases jest utrzymywana po stronie producenta i bywa aktualizowana.

Kogo dotyczy?

Podatności dotyczą wszystkich wydań Cisco IOS XR Software, w tym Cisco IOS XR7 (LNT), niezależnie od konfiguracji urządzenia. Cisco zaznacza, że dotyczą one wyłącznie produktów wymienionych w sekcji Vulnerable Products advisory.

IOS XR to system operacyjny routerów operatorskich i rdzeniowych Cisco. W polskich warunkach dotyczy to przede wszystkim operatorów telekomunikacyjnych, dostawców usług internetowych, dużych centrów danych oraz operatorów infrastruktury krytycznej — podmiotów, dla których urządzenia brzegowe i szkieletowe są jednocześnie najbardziej wystawione i najtrudniejsze do wyłączenia na czas aktualizacji.

Podmioty objęte dyrektywą NIS2 powinny potraktować ten biuletyn jako zdarzenie wymagające udokumentowanej decyzji: albo aktualizacja w reżimie pilnym, albo formalna, zapisana akceptacja ryzyka wraz z opisem środków kompensacyjnych.

Źródła

• NVD - CVE-2026-20274
• NVD - CVE-2026-20279
• Cisco Security Advisory: cisco-sa-hardening-iosxr-qg64NcM
• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.