Cisco corrige RCE autenticada en UCS Central
CVE-2026-76506 permite ejecución remota de código o divulgación de información en UCS Central Software a atacantes autenticados. UCS Central 2.1 se corrige desde 2.1(2c); las versiones 2.0 y anteriores deben migrar a una release corregida. No hay workaround.
Cisco publicó el 4 de noviembre el advisory de CVE-2026-76506, una ejecución remota de código en la interfaz web de Cisco UCS Central Software. La explotación requiere que el atacante remoto tenga credenciales válidas en el dispositivo; no es una vulnerabilidad anónima ni un fallo de cualquier instalación de UCS. Cisco asigna una severidad alta y recomienda actualizar a una versión corregida.
-InfraCrew dice: “autenticado” no convierte una RCE en inocua; solo describe por dónde empieza el problema.-
La interfaz de administración acepta una ruta peligrosa
Cisco atribuye el fallo a validación insuficiente de datos enviados en una petición HTTP. La empresa indica que una solicitud especialmente preparada puede permitir ejecutar comandos arbitrarios, escribir ficheros en el sistema o acceder a información sensible del dispositivo. El advisory clasifica la causa como CWE-22, una debilidad de recorrido de rutas, y limita el impacto a UCS Central Software.
El requisito de cuenta cambia la evaluación: el atacante necesita credenciales válidas en el dispositivo antes de enviar la petición. El vector CVSS 3.1 marca acceso por red, privilegios bajos y ninguna interacción de otra persona, con una puntuación base de 7,6. Por tanto, no se debe describir como acceso sin autenticación, pero tampoco reducir el impacto a un fallo de usuario: si la cuenta inicial existe, la interfaz de administración puede terminar ejecutando comandos en el equipo.
Cisco no conoce anuncios públicos ni uso malicioso de esta vulnerabilidad según el aviso publicado el 4 de noviembre. Eso describe lo que PSIRT sabía en esa fecha, no una garantía de que nunca vaya a aparecer explotación. La nota oficial no ofrece una mitigación provisional ni una combinación de controles que sustituya a instalar la versión corregida.
-InfraCrew dice: las credenciales abren la puerta del advisory; la ejecución de comandos es lo que hay que evitar al otro lado.-
-InfraCrew dice: si el aviso confirma que no hay workaround, inventar uno no reduce el riesgo; solo cambia quién lo explica después.-
Ramas y versiones que hay que comprobar
Cisco identifica como vulnerable Cisco UCS Central Software con independencia de la configuración del dispositivo. En la rama 2.1, la primera versión corregida es 2.1(2c), así que las versiones anteriores de esa rama deben actualizarse. Para 2.0 y anteriores, la tabla no enumera un parche dentro de esas ramas: indica migrar a una versión corregida.
El advisory dice expresamente que no hay workarounds para CVE-2026-76506. La acción respaldada es inventariar todas las instancias de UCS Central, localizar su release y seguir la ruta de actualización que Cisco publica para llegar a una versión fija. No conviene quedarse solo con el nombre “2.1”: hay que comparar la versión completa con el primer release corregido.
Un fallo en el plano de administración central
UCS Central gestiona infraestructura UCS desde una interfaz centralizada; por eso, el componente vulnerable merece atención aunque el acceso inicial requiera autenticación. El riesgo descrito afecta a la propia instancia de administración, no demuestra por sí mismo que todos los servidores gestionados hayan sido comprometidos ni que se hayan alterado datos. La diferencia entre un dispositivo vulnerable y un incidente confirmado debe mantenerse visible al priorizar la respuesta.
Para quien opera la plataforma, hay dos comprobaciones concretas: revisar cuentas con acceso a la interfaz y confirmar que las instancias han llegado a la release corregida. La primera reduce el número de credenciales que pueden entrar en juego, pero no reemplaza el upgrade, porque Cisco no publicó una solución temporal. En los sistemas 2.0 y anteriores, planifica la migración a una versión corregida en vez de buscar un parche que el advisory no ofrece.
Diccionario de la Crew
CVE — Identificador público único asignado a una vulnerabilidad.
CVSS — Common Vulnerability Scoring System; sistema que puntúa la severidad técnica mediante métricas de ataque e impacto.
CWE-22 — Clasificación de una debilidad por recorrido de rutas, que puede permitir acceder o escribir fuera de la ubicación prevista.
