A Cisco publicou o advisory cisco-sa-oct2026-node-js-Jj3SQ19u em 27 de outubro de 2026, atualizado para a versão 1.8 em 6 de novembro de 2026, detalhando vulnerabilidades em componentes Node.js e no decoder Brotli incorporados a diversos de seus produtos.
Resumo das falhas
O problema central envolve o CVE-2026-111497, uma escrita fora dos limites no decoder Brotli que pode permitir execução remota de código. Além dele, há falhas em funções de resolução DNS e validação de hostname TLS no Node.js, classificadas como de severidade alta. O Security Impact Rating (SIR) atribuído pela Cisco é High.
Produtos e versões afetadas
Vários produtos Cisco estão sob investigação ou já contam com correções em releases específicas. A tabela abaixo resume o status conhecido com base no advisory:
| Produto | Bug ID | Correção ou disponibilidade |
|---|---|---|
| AI PODs for Collaboration | — | 1.0.2 (data a definir) |
| Smart PHY | CSCwx49006 | Versão a definir (março de 2027) |
| Packet Tracer | — | 9.2.0 (dezembro de 2026) |
| Duo Network Gateway | — | 3.4.2 |
| Duo Authentication Proxy Local Manager for Windows | — | 6.8.1 (novembro de 2026) |
| Secure Workload | — | Versão a definir (fevereiro de 2027) |
| Business Process Automation (BPA) | CSCwx48997 | 4.1.2 (data a definir), 5.0 (novembro de 2026) ou 5.1 (data a definir) |
| Catalyst Center (antigo DNA Center) | CSCwx48988 | 3.4.1 (julho de 2027) |
| Common Services Platform Collector | — | 2.11.0.9 (novembro de 2026) |
| Secure Endpoint – Private Cloud Appliance | CSCwx48980 | Versão a definir (novembro de 2026) |
| Virtualized Infrastructure Manager | CSCwx48998 | Versão e data a definir |
| Nexus 9000 em NX-OS standalone (Guest Shell) | — | Versão e data a definir |
| Private 5G | CSCwx48976 | 22.23.4 (data a definir) |
| Intersight Virtual Appliance | — | Versão a definir (novembro de 2026) |
| AI Canvas | — | 26.10.4 |
| AppDynamics SaaS | — | Versão e data a definir |
| Security Cloud Control | — | 20261030-b3cffcb (novembro de 2026) |
| Intersight | — | Versão a definir (novembro de 2026) |
| Spaces | — | 24.22.1 |
| Webex Connect | — | 6.22.2 (novembro de 2026) |
| CLI Analyzer | — | Versão e data a definir |
| IQ Link | — | 1.3.1 (data a definir) |
| IQ Virtual Appliance | — | 1.3.1 (data a definir) |
| Collaboration Endpoints com RoomOS | CSCwx44334 | On-premises: 11.41.2.3 ou 26.7.4.3; cloud: setembro de 2026/26.9.1 ou posterior, ou 11.41.1 ou posterior na geração anterior |
| Cloud Connect | — | 15.0.SU3 – ES 202701 |
Entre os produtos prioritários, Catalyst SD-WAN, IOS XE, IOS XR, ASA, FMC e FTD estão marcados como não impactados. O ISE permanece sob investigação, enquanto o status do NX-OS deve ser consultado nas tabelas de produtos impactados e confirmados como não vulneráveis do advisory.
Para contextualizar o acompanhamento de segurança desse produto, o Brainwork também analisou as falhas críticas corrigidas no Cisco ISE e ISE-PIC. São ocorrências distintas, portanto cada ambiente deve seguir o advisory correspondente.
Gravidade e impacto
O CVE-2026-111497 recebeu pontuação CVSS 9.2 pela CNA Google e aproximadamente 9.8 no NVD. Foi adicionado ao catálogo CISA KEV em 27 de outubro de 2026, com prazo de correção até 10 de novembro de 2026 para agências federais dos EUA. As demais falhas de DNS e TLS apresentam CVSS em torno de 7.4 e permitem truncamento de nomes ou bypass de validação de hostname.
Condições de exploração
Não há workarounds disponíveis. Proof-of-concept público existe, porém não há evidência de exploração maliciosa ativa contra produtos Cisco até o momento. A falha no Brotli afeta qualquer software que utilize o decoder C original, independentemente do Node.js.
Mitigação e correção
A recomendação principal é aplicar as atualizações de software assim que disponíveis para cada produto afetado. As correções do Node.js foram lançadas nas linhas 22.23.4, 24.22.1 e 26.12.1, e o Brotli foi atualizado para as versões 1.0.10, 1.1.1 e 1.2.1. Linhas EOL do Node.js (20.x e anteriores) não receberam correções.
Validação da exposição
Administradores devem consultar o Bug Search Tool da Cisco usando os identificadores CSCwx* mencionados no advisory e verificar a versão instalada de cada produto. A ausência de um produto na lista indica que ele não é impactado pela revisão atual.
About the Author
