Cisco corrige falhas críticas no License On-Prem sem alternativa de mitigação

A Cisco publicou correções para quatro vulnerabilidades no Cisco License On-Prem, anteriormente chamado Smart Software Manager On-Prem. As falhas afetam a interface web e as APIs do produto e podem resultar em acesso não autorizado, exposição de informações, negação de serviço e elevação de privilégios.

Duas vulnerabilidades receberam pontuação CVSS 9,1. A CVE-2026-20328 permite que um atacante remoto e não autenticado redefina a senha de uma conta arbitrária, inclusive de administradores. Já a CVE-2026-76454 decorre de validação inadequada e ausência de autenticação na API, possibilitando modificar arquivos do sistema ou causar indisponibilidade. O pacote também corrige uma injeção de comandos e uma injeção de SQL que exigem credenciais administrativas.

Não há solução alternativa para essas falhas. A Cisco recomenda migrar versões 9-202601 ou anteriores e atualizar instalações anteriores à versão 10-202608. Equipes responsáveis pelo produto devem priorizar a correção, restringir a exposição da interface de gerenciamento e revisar atividades de redefinição de senha e alterações administrativas incomuns. A empresa informou não ter conhecimento de exploração maliciosa pública até a divulgação do alerta.