Het NCSC heeft advisory NCSC-2026-0409 gepubliceerd over vijf kwetsbaarheden in Cisco Application Policy Infrastructure Controller (APIC), de centrale beheersoftware voor Cisco’s ACI-datacenternetwerken.
Drie van de vijf fouten scoren het maximum van hun risicocategorie: CVE-2026-76498, CVE-2026-76499 en CVE-2026-76500 krijgen allemaal een CVSS-score van 9,8. Cisco’s engineeringteam vond ze tijdens een interne security-review voor de hardening-release van oktober 2026. Het gaat om een probleem met toegangscontrole, een neutralisatiefout die tot command- of OS-injectie kan leiden, en een fout in het beheer van systeembronnen gedurende hun levensduur. Cisco geeft hierbij geen verder aanvalsscenario.
De twee overige kwetsbaarheden scoren met 6,5 lager, maar zijn concreter beschreven. CVE-2026-20321 ontstaat door onvoldoende validatie van parameters in de webgebaseerde management-API: een al geauthenticeerde beheerder kan daardoor willekeurige commando’s met rootrechten uitvoeren. CVE-2026-76488 zit in de export policies-functionaliteit en laat een beheerder via speciaal opgestelde waarden in bepaalde UI-velden bestanden van het onderliggende systeem lezen, inclusief cryptografisch sleutelmateriaal. Dat materiaal is te misbruiken om rootrechten te krijgen op zowel de APIC zelf als de switches die erdoor worden beheerd.
Alle vijf kwetsbaarheden treffen Cisco APIC ongeacht de configuratie, en workarounds zijn er niet. Versies 5.3 en ouder krijgen geen patch meer en moeten migreren naar een onderhouden release. Cisco heeft de fouten verholpen in 6.0(9h), 6.1(6g) en 6.2(3g). Het NCSC schat de kans op misbruik in als gemiddeld en de schade als hoog. Cisco PSIRT ziet geen aanwijzingen voor actief misbruik of een publiek proof-of-concept.
Het is deze week niet de eerste Cisco-patchronde die het NCSC meldt: eerder verschenen al advisories over Cisco License On-Prem en Cisco NX-OS Software. Beheerders van een ACI-fabric nemen APIC het best in dezelfde patchronde mee: controleer de huidige versie en geef voorrang aan omgevingen op 5.3 of ouder, die nu buiten het reguliere support-pad vallen en volledig moeten migreren.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Gebruikt u Cisco APIC? Plan de upgrade naar 6.0(9h), 6.1(6g) of 6.2(3g). Een aanvaller met gestolen beheerderscredentials kan via twee van de vijf fouten rootrechten krijgen op zowel de APIC als de switches die hij beheert, dus combineer de update met een controle op ongebruikelijke beheerdersactiviteit.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.