Remediar el aviso de seguridad de IOS-XE: agosto de 2026 y los problemas críticos relacionados

Introducción

Este documento describe los errores de software inalámbrico notificados con las versiones de seguridad reforzada publicadas para el aviso de Cisco IOS® XE en agosto de 2026.

Background

Este documento proporciona una guía de actualización para abordar Security Advisory, FN74383 y los problemas críticos.

El 5 de agosto de 2026, Cisco publicó el aviso de refuerzo de la seguridad de Cisco IOS XE que afecta a varias plataformas, incluidos, entre otros, los controladores de LAN inalámbrica de la serie 9800. Como se ha documentado, este aviso aborda varias vulnerabilidades descubiertas internamente como resultado de una revisión de seguridad interna exhaustiva realizada por el departamento de ingeniería de Cisco IOS XE.

Plataformas inalámbricas incluidas en la revisión

Catalyst Wireless 9800 (C9800-L, C9800-CL, C9800-40, C9800-80)

WLC Cisco Wireless 9800 (CW9800L, CW9800M, CW9800H1/H2)

Red inalámbrica integrada 9800 en switch Catalyst (9800-SW): solo admite la implementación de SDA

Puntos de acceso Catalyst 11ax 91xx Series basados en COS (9105/9115/9117/9120/9130/9136/9164/9166)

Puntos de acceso inalámbricos de Cisco serie 917x (CW9171/CW9172/CW9174/CW9176/CW9178/CW9179)

Versión del software Cisco IOS XE	Primera versión fija
17.9	17.9.10
17.12	17.12.8
17.15	17.15.6
17.18	17.18.4, 17.18.4a*
26.1	26.1.2

Tabla 1. Versiones de software incluidas en la revisión y las correspondientes versiones reforzadas

* Nota: 17.18.4a soporta todos los WLC independientes. Para el controlador de LAN inalámbrica integrado en switches en implementaciones SDA, utilice el paquete inalámbrico 17.18.4 que funciona con la versión de switch 17.18.4. No existe una versión 17.18.4a para el paquete de switch o inalámbrico.

Errores críticos

En las versiones reforzadas de seguridad mencionadas en la tabla 1, se han identificado algunos problemas importantes que pueden afectar al uso de estas versiones:

• ID de bug de Cisco CSCwv93265
• ID de bug de Cisco CSCwv98483

Errores críticos en detalle

ID de bug de Cisco CSCwv93265:

Síntoma: Errores de conectividad de cliente o itinerancia cuando se están utilizando las funciones de OpenRoaming, WPA3, 11k, 11v, 11r.

Plataformas afectadas: Todo el controlador inalámbrico Cisco 9800 y el paquete inalámbrico para Cat9K.
Versión de software afectada: Cisco IOS XE 26.1.2, Cisco IOS XE 17.18.4a, Cisco IOS XE 17.18.4, Cisco IOS XE 17.15.6, Cisco IOS XE 17.12.8 y Cisco IOS XE 17.9.10.
Hay un APSP correctivo disponible para todas las versiones. Cisco recomienda implementar APSP en todas las implementaciones que ejecuten la versión de refuerzo.

Versión fija:

	C980-L	CW9800-L	C9800-40	C9800-80	C9800-CL	CW9800-M	CW9800-H1	CW9800-H2	Switches cat9k	C9350	EWC-on-9100
17.15.6	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	NA	Póngase en contacto con el TAC para obtener la construcción especial de ingeniería
17.18.4 bis	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA
17.18.4	NA	NA	NA	NA	NA	NA	NA	NA	APSP-Link	NA	NA
17.12.8	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA	APSP-Link	NA	Mover a 17.15 tren
26.1.2	link APSP	link APSP	link APSP	link APSP	link APSP	link APSP	link APSP	link APSP	link APSP	link APSP	NA
17.9.10	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA	APSP-Link	NA	Mover a 17.15 tren

Tabla 2. Enlaces APSP para diferentes plataformas WLC 9800

ID de bug de Cisco CSCwv98483

Síntoma: Clientes inalámbricos anclados atascados en IP_Learn cuando C9800-L, CW9800-L, C9800-CL están configurados como WLC externo.
Plataformas afectadas: C9800-L, CW9800-L, C9800-CL (solo en el escenario Guest-Anchor donde las plataformas afectadas actúan como WLC externo).
Versión de software afectada: Cisco IOS XE 26.1.2, Cisco IOS XE 17.18.4a y Cisco IOS XE 17.15.6.
Solución alternativa: Habilite el cifrado de link de datos de movilidad en el túnel entre el extranjero y el anclaje:

wireless mobility group member mac-address <peer_mac> ip <peer_ip> public-ip <peer_ip> group <peer_group> data-link-encryption

Versión fija:

Producto	C9800L	CW9800L	C9800-CL
17.15.6	SMU-Link	NA	SMU-LINK
17.18.4 bis	SMU-Link	SMU-Link	SMU-Link
26.1.2	SMU-Link	SMU-Link	SMU-Link

Guía de actualización para cuestiones críticas y de asesoramiento

Para abordar los problemas críticos y de asesoramiento de las versiones reforzadas de seguridad, Cisco recomienda:

1. Los clientes de redes inalámbricas que ejecutan Cisco IOS XE versión 17.12, 17.15, 17.18 continúan con los pasos 2, 3 y 4. Los clientes de redes inalámbricas que ejecutan Cisco IOS XE versión 17.9, 26.1, deben esperar a que el parche de APSP se publique en cisco.com ANTES de actualizar. Consulte la Tabla 2 para conocer las fechas de lanzamiento de los parches.
2. Antes de la actualización, ejecute las comprobaciones de actualización y los pasos de recuperación documentados aquí para mitigar el impacto debido a FN74383.
3. Actualice la versión reforzada de seguridad de Cisco IOS XE y el parche de APSP en la misma ventana de mantenimiento para evitar que el servicio inalámbrico se vea afectado.
4. Si se ve afectado por el Id. de error de Cisco CSCwv98483, aplique la solución alternativa hasta que SMU esté disponible. Una vez que SMU se publique, se espera que los clientes apliquen el parche SMU.

Consideraciones sobre el tiempo de inactividad para planificar la ventana de mantenimiento para la actualización de Cisco IOS XE + parches

La actualización de Cisco IOS XE en los WLC 9800 configurados en configuraciones redundantes no redundantes o de alta disponibilidad (HA) puede aprovechar diversos mecanismos como:

• In-Service Software Upgrade (ISSU)
• Actualización sucesiva N+1
• Actualización instantánea

Para obtener más detalles, consulte la Guía de Inicio Rápido de Actualización de 9800 WLC.

Además, los problemas críticos requieren la aplicación de parches con Software Maintenance Update (SMU) y Access Point Service Pack (APSP).

Para obtener detalles sobre las diversas opciones de parches soportadas por el WLC 9800, consulte la Guía de Actualización de Parches y Rolling AP para el WLC 9800.

Para planificar su ventana de mantenimiento para la actualización + aplicación de parches de Cisco IOS XE con cada uno de los mecanismos de actualización, tenga en cuenta el tiempo de inactividad y el impacto documentados en esta sección.

In-Service Software Upgrade (ISSU)

• Aplicable únicamente a un par de WLC 9800 que se ejecuta en una configuración de conmutación stateful HA (HA SSO) y solo compatible entre trenes de versiones de larga duración y sus versiones de mantenimiento. (No es compatible con versiones de escalada y trenes de versiones de corta duración sin versiones de mantenimiento).
• ISSU proporciona una experiencia de actualización perfecta al admitir el par 9800 en HA SSO mientras se ejecutan diferentes versiones de software y se aprovecha la actualización de AP sucesiva. En un par operativo 9800 HA, el WLC en espera se actualiza, y el WLC en espera se actualiza después del SSO, nuevo WLC en espera. Para obtener detalles del proceso ISSU y las CLI y las instantáneas de GUI correspondientes, consulte Actualización de SSO 9800 HA mediante ISSU.
• Ejecute las comprobaciones de actualización y la recuperación en los AP antes de iniciar ISSU.
• Con ISSU, la duración de la actualización no es fácilmente predecible. En función del tamaño de la implementación y de las velocidades de la red, la actualización puede tardar varias "horas" en completarse.
• Además, ISSU aprovecha la actualización de AP sucesiva donde los AP se reinician de manera escalonada para minimizar el tiempo de inactividad. Sin embargo, en este caso, significa que los clientes conectados a los AP que ejecutan la versión reforzada continúan experimentando problemas de conectividad e itinerancia documentados en los ID de bug de Cisco CSCwv93265 y CSCwv98483 hasta que el WLC es parcheado después de la actualización de ISSU.
• SMU para el ID de bug de Cisco CSCwv98483 es un parche frío que requiere la recarga del WLC.
• El APSP para el ID de bug Cisco CSCwv93265 se puede aplicar usando la actualización de Rolling AP o en un solo tiro. Si utiliza la actualización de AP Rolling, dependiendo del tamaño de la implementación, esto puede tomar varias "horas" para que todos los AP se actualicen y definitivamente evitar errores críticos conocidos.
• Duración total en la que el servicio puede verse afectado (el WLC o los AP están inactivos O la conectividad/itinerancia del cliente se ve afectada) = Tiempo para completar ISSU + Tiempo para la recarga del WLC debido al parche en frío SMU + Tiempo para la actualización sucesiva del AP para APSP.

Actualización de punto de acceso rodante N+1

• Este procedimiento se basa en un WLC 9800 de repuesto llamado N+1 WLC con versión de software actualizada para alojar AP mientras que el par 9800 de "producción" o el independiente 9800 se somete a la actualización. La recomendación es que este WLC N+1 9800 no tenga ningún AP registrado para él ANTES de que se inicie la actualización sucesiva N+1.
• Ejecute las comprobaciones de actualización y la recuperación en los AP mientras están registrados en el WLC primario.
• Para obtener detalles sobre el proceso y las instantáneas CLI y GUI asociadas, refiérase a Upgrade 9800 WLC using N+1 Rolling AP upgrade.
• En este proceso, para que los AP se trasladen sin problemas del WLC primario al WLC N+1, la versión del software que se ejecuta en el WLC N+1 y pre-descargada a los AP necesita coincidir exactamente.
• La descarga previa a los AP se facilita mediante la descarga, pero NO mediante la activación de la versión reforzada de Cisco IOS XE en el WLC principal. Sin la activación de la imagen, los parches de software no se pueden aplicar o descargar previamente a los AP. Lo que, a su vez, significa que el WLC N+1 no puede ser parcheado también.
• Incluso en este proceso, al igual que ISSU, los APs revueltos a N+1 WLC siguen estando en riesgo para la conectividad del cliente y los problemas de roaming documentados en los ID de bug de Cisco CSCwv93265 y CSCwv98483 hasta que el WLC N+1 sea parcheado, después de que termine la actualización de Rolling AP.
• SMU para el ID de bug de Cisco CSCwv98483 es un parche frío que requiere la recarga del WLC.
• El APSP para el ID de bug Cisco CSCwv93265 se puede aplicar usando la actualización de Rolling AP o en un solo tiro. Si utiliza la actualización de AP Rolling, dependiendo del tamaño de la implementación, esto puede tomar varias "horas" para que todos los AP se actualicen y definitivamente evitar errores críticos conocidos.
• Duración total en la que el servicio puede verse afectado (el WLC o los AP están inactivos O la conectividad/itinerancia del cliente se ve afectada) = Tiempo que tardan todos los AP en pasar al WLC N+1 + Tiempo para la recarga del WLC debido al parche en frío de SMU + Tiempo para la actualización rotatoria del AP para el APSP.
• Para su ventana de mantenimiento, también tenga en cuenta el tiempo necesario para que el WLC N+1 se actualice a las versiones reforzadas de Cisco IOS XE y para que los AP descarguen previamente la versión reforzada de Cisco IOS XE del WLC principal, aunque ninguna de estas opciones tiene impacto en el servicio.

Actualización de AP regular N+1 - RECOMENDADO

• Este procedimiento se basa en un WLC 9800 de repuesto como WLC N+1 con versión de software actualizada para alojar AP mientras que el par 9800 de "producción" o el independiente 9800 se somete a la actualización.
• La recomendación es que este WLC 9800 de repuesto no tenga ningún AP registrado para él ANTES de que se inicie la actualización sucesiva N+1.
• El WLC N+1 de repuesto se puede actualizar a Cisco IOS XE reforzado activado y confirmado y se le puede aplicar un parche con APSP y SMU, en una sola toma. Al no haber ningún AP registrado, esto es impacto no de servicio, pero debe tener en cuenta el tiempo necesario para la recarga de WLC múltiple al programar su ventana de mantenimiento.
• En la GUI principal del WLC donde se registran los AP, navegue hasta Configuration > Tags and Profiles: Priming AP > Base principal.
  • Defina el WLC N+1 y la dirección IP de la interfaz de administración inalámbrica (WMI) como principal.
  • Defina el nombre WLC principal actual y la IP WMI en Secundario.
• Utilice filtros regex para migrar de forma masiva los AP del WLC principal al WLC N+1.
• Una vez registrado en el WLC N+1, los AP ya están ejecutando la versión reforzada de la seguridad junto con los parches para fijar los errores críticos.

Duración total en la que el servicio puede verse afectado (el WLC o los AP están inactivos O la conectividad/itinerancia del cliente se ve afectada) = Tiempo que los AP tardan en migrar del WLC principal al WLC N+1 que es dictado por la velocidad de la red entre el AP y los WLC.

Actualización One-Shot - RECOMENDADA, si no hay ningún WLC N+1 presente

• En este procedimiento, el WLC primario se actualiza (junto con la activación y el compromiso) a la versión de seguridad reforzada del IOS XE de Cisco en un paso.
• Como parte de la activación de la imagen, el WLC primario se recarga y todos los AP se vuelven a registrar con el WLC primario de la actualización y reciben la versión reforzada de Cisco IOS XE de la seguridad.
• Hasta que se aplique el APSP, los AP están en riesgo por problemas de conectividad e itinerancia del cliente documentados en los ID de bug de Cisco CSCwv93265 y CSCwv98483.

Duración total en la que el servicio puede verse afectado (el WLC o los AP están inactivos O la conectividad/itinerancia del cliente se ve afectada) = Tiempo que tarda el WLC primario en recargarse + Tiempo que tardan todos los AP en descargar la versión reforzada de Cisco IOS XE del WLC primario sobre CAPWAP y en registrarse nuevamente en el WLC primario. (Doble este tiempo si se aplica el parche SMU) + Tiempo que tardan todos los AP en descargar el parche APSP del WLC primario y en registrarse nuevamente en el WLC primario.

Preguntas Frecuentes

¿Los AP se ven afectados por este aviso de seguridad?

Los puntos de acceso basados en COS se incluyeron en la revisión de seguridad y las correcciones correspondientes se incorporan en las versiones reforzadas de Cisco IOS XE.

¿Cuál es el riesgo para los WLC de AireOS?

Los WLC de AireOS no se incluyeron en la revisión de seguridad ya que han alcanzado el Día final de soporte técnico (LDoS).

¿Hay alguna versión que incluya todas las correcciones para que se pueda realizar una sola acción de actualización?

Cisco está considerando esta posibilidad y puede publicar más información si está disponible. Hay disponible una versión especial de escalada que incluye el APSP al solicitar el TAC. Esa versión especial de escalada no permite que se instalen más SMU o APSP y solo contiene la corrección de APSP1.

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
3.0	17-Aug-2026	Se ha añadido una nota sobre los clientes de licencias de Cisco Essentials, así como el enlace 26.1 APSP
2.0	14-Aug-2026	Agregado EWC-on-AP
1.0	13-Aug-2026	Versión inicial