Im Mittelpunkt der Updates steht Crosswork in Version 7.2.1-SP. Cisco hat dort vier kritische Schwachstellen behoben. Drei davon — CVE-2026-20030, CVE-2026-20357 und CVE-2026-20358 — erhielten den maximalen CVSS-Wert von 10,0. Die vierte, CVE-2026-20359, wurde mit 9,9 von 10 bewertet.

Nach Angaben von Cisco fasst jede dieser CVE mehrere Einzelprobleme derselben zugrunde liegenden Schwachstellenklasse zusammen. Die ersten drei betreffen SQL-Injection, fehlende Authentifizierung und die externe Kontrolle über Dateisystemfunktionen. CVE-2026-20359 umfasst hingegen unzureichenden Schutz von Zugangsdaten. Bei erfolgreicher Ausnutzung könnten Angreifer laut Cisco Remotecodeausführung, Authentifizierungsumgehungen, Pfad-Traversal sowie das Überschreiben oder Löschen von Dateien erreichen.

Ebenfalls am Mittwoch veröffentlichte Cisco die Secure-Workload-Versionen 4.0.4.16 und 3.10.9.1. Sie schließen fünf CVEs, die ebenfalls jeweils mehrere Einzelprobleme gruppieren. Vier dieser Einträge sind als kritisch eingestuft.

CVE-2026-20315 und CVE-2026-20317 betreffen fehlerhafte Zugriffskontrollen und Authentifizierungsprobleme, die potenziell Umgehungen ermöglichen. CVE-2026-20231 bündelt Schwachstellen für Code- beziehungsweise Betriebssystembefehls-Injektionen. CVE-2026-20318 deckt Probleme bei der Eingabevalidierung und Pfad-Traversal ab. Der fünfte Eintrag, CVE-2026-20319, beschreibt Pufferüberläufe und Schreibzugriffe außerhalb zulässiger Speichergrenzen.

Zusätzlich hat Cisco eine hochriskante Schwachstelle im Open Client Interface XML-Parser von BroadWorks beseitigt. Der Fehler ist als CVE-2026-20320 erfasst und konnte laut Cisco aus der Ferne und ohne Authentifizierung ausgenutzt werden, um sensible Konfigurationsinformationen auszulesen.

Ursache war, dass die Auflösung externer Entitäten standardmäßig erlaubt war. Dadurch konnten Angreifer präparierte XML-Nachrichten senden und mit den Benutzerrechten von BroadWorks sensible Dateien einsehen. Behoben wurde das Problem in Version RI.2026.07 der BroadWorks Application Delivery Platform, des BroadWorks Application Server, des BroadWorks Profile Server und der BroadWorks Xtended Services Platform.

Darüber hinaus hat Cisco Schwachstellen mittlerer Schwere in Unified Intelligence Center, RoomOS, den Industrial-Ethernet-Switches der IE-1000-Serie sowie in Packaged Contact Center Enterprise und Unified Contact Center Enterprise korrigiert.

Cisco erklärt, dem Unternehmen seien derzeit keine Fälle bekannt, in denen eine der nun behobenen Schwachstellen bereits aktiv ausgenutzt wurde. Weitere Informationen verweist der Hersteller auf seine Security-Advisories-Seite.