Résolution des problèmes de sécurité liés à la plate-forme logicielle Cisco IOS-XE - août 2026

Introduction

Ce document décrit les bogues critiques du logiciel sans fil signalés avec les versions de sécurité renforcée publiées pour l'avis IOS-XE - Août 2026.

Fond

Ce document fournit des conseils de mise à niveau pour traiter les avis de sécurité, FN74383 et les questions critiques.

Le 5 août 2026, Cisco a publié un avis de renforcement de la sécurité IOS-XE qui concerne plusieurs plates-formes, y compris, mais sans s'y limiter, les contrôleurs LAN sans fil de la gamme 9800. Comme l'indique la documentation, cet avis concerne plusieurs vulnérabilités découvertes en interne suite à une analyse complète de la sécurité interne par l'équipe d'ingénierie de Cisco IOS-XE. 

Plates-formes sans fil incluses dans la révision

Catalyst Wireless 9800 (C9800-L, C9800-CL, C9800-40, C9800-80)

WLC sans fil Cisco 9800 (CW9800L, CW9800M, CW9800H1/H2)

Sans fil 9800 intégré sur commutateur Catalyst (9800-SW) - prend uniquement en charge le déploiement SDA

Points d'accès de la gamme Catalyst 11ax 91xx basés sur COS (9105/9115/9117/9120/9130/9136/9164/9166)

Points d'accès sans fil Cisco 917x (CW9171/CW9172/CW9174/CW9176/CW9178/CW9179)

Tableau 1. Versions logicielles incluses dans la révision et versions durcies correspondantes

*Remarque : 17.18.4a prend en charge tous les WLC autonomes. Uniquement pour le contrôleur LAN sans fil intégré sur les commutateurs dans les déploiements SDA, utilisez le package sans fil 17.18.4 qui fonctionnera avec la version de commutateur 17.18.4. Il n'y aura pas de version 17.18.4a pour le commutateur ou le package sans fil.

Bogues critiques

Dans les versions renforcées pour la sécurité mentionnées dans le Tableau 1, certains problèmes critiques ont été identifiés qui peuvent affecter votre utilisation de ces versions. 

1. CSCwv93265
2. CSCwv98483

Détail des bogues critiques

wireless mobility group member mac-address <peer_mac> ip <peer_ip> public-ip <peer_ip> group <peer_group> data-link-encryption

Conseils de mise à niveau pour les problèmes critiques et de conseil

Pour résoudre les problèmes critiques et de conseil signalés sur les versions sécurisées renforcées, Cisco recommande

Étape 1. Les clients sans fil exécutant IOS-XE version 17.12, 17.15, 17.18 passent aux étapes 2, 3 et 4. Les clients sans fil exécutant IOS-XE version 17.9, 26.1, attendent que le correctif APSP soit publié sur cisco.com AVANT de procéder à la mise à niveau. Reportez-vous au Tableau 2 pour connaître les dates de publication des correctifs

Étape 2. Avant la mise à niveau, exécutez les vérifications de mise à niveau et les étapes de récupération documentées ici pour atténuer l’impact dû à FN74383 

Étape 3 : mise à niveau de la version IOS-XE sécurisée et du correctif APSP dans la même fenêtre de maintenance afin d’éviter tout impact sur le service sans fil

Étape 4. Si le problème est résolu par CSCwv98483, appliquez la solution de contournement jusqu'à ce que SMU soit disponible. Une fois que SMU est publié, les clients doivent appliquer le correctif SMU.

Considérations relatives aux temps d'arrêt pour la planification Fenêtre de maintenance pour mise à niveau IOS-XE + correctifs

La mise à niveau IOS-XE sur les WLC 9800 configurés dans des configurations redondantes non redondantes ou haute disponibilité (HA) peut tirer parti de divers mécanismes tels que 

• Mise à niveau logicielle en service (ISSU)
• Mise à niveau continue N+1
• Mise à niveau unique

Pour plus de détails, référez-vous au Guide de démarrage rapide de mise à niveau WLC 9800

En outre, les problèmes critiques nécessitent l'application de correctifs avec Software Maintenance Update (SMU) et Access Point Service Pack (APSP)

Pour plus de détails sur les différentes options de correctifs prises en charge par le WLC 9800, référez-vous au Guide de mise à niveau de correctifs et de points d'accès roulants pour le WLC 9800

Pour planifier votre fenêtre de maintenance pour la mise à niveau et l'application de correctifs IOS-XE avec chaque mécanisme de mise à niveau, tenez compte des temps d'arrêt et de l'impact décrits dans cette section.

Mise à niveau logicielle en service (ISSU)

• Applicable uniquement à la paire de WLC 9800 fonctionnant en configuration HA SSO (HA Stateful Switchover) et uniquement prise en charge entre les catégories de versions à longue durée de vie et leurs versions de maintenance. (Non pris en charge sur les versions d'escalade et les trains de versions de courte durée sans versions de maintenance)
• ISSU offre une expérience de mise à niveau transparente en prenant en charge 9800 paires dans HA SSO tout en exécutant différentes versions logicielles et en exploitant la mise à niveau des points d'accès.  Sur une paire HA 9800 opérationnelle, le WLC en veille est mis à niveau, et après SSO, le nouveau WLC en veille est mis à niveau.   Pour plus de détails sur le processus ISSU et les interfaces de ligne de commande et les captures instantanées GUI correspondantes, référez-vous à Mise à niveau SSO 9800 HA utilisant ISSU 
• Exécutez les vérifications de mise à niveau et la récupération sur les points d'accès avant de lancer ISSU. 
• Avec ISSU, la durée de la mise à niveau n'est pas facilement prévisible. En fonction de la taille du déploiement et de la vitesse du réseau, la mise à niveau peut prendre plusieurs heures
• De plus, ISSU tire parti de la mise à niveau progressive des points d'accès où les points d'accès sont redémarrés de manière échelonnée pour minimiser les temps d'arrêt. Cependant, dans ce cas, cela signifie que les clients connectés aux AP exécutant la version renforcée continueront à connaître des problèmes de connectivité et d'itinérance documentés dans CSCwv93265 et CSCwv98483 jusqu'à ce que le WLC soit corrigé après la mise à niveau ISSU. 
• SMU pour CSCwv98483 est un correctif à froid qui nécessite un rechargement de WLC. 
• APSP pour CSCwv93265 peut être appliqué en utilisant la mise à niveau de point d'accès en continu ou en une seule fois. Si vous utilisez la mise à niveau des points d'accès roulants, en fonction de la taille du déploiement, cela peut prendre plusieurs « heures » pour que tous les points d'accès soient mis à niveau et éviter définitivement les bogues critiques connus
• Durée totale pendant laquelle le service peut être affecté (WLC ou points d'accès sont hors service OU la connectivité/l'itinérance du client est affectée) = Temps pour terminer ISSU + Temps pour le rechargement du WLC en raison du correctif à froid SMU + Temps pour la mise à niveau progressive des points d'accès pour APSP

Mise à niveau des points d'accès permanents N+1 

• Cette procédure s'appuie sur un WLC 9800 de rechange appelé N+1 WLC avec une version logicielle mise à niveau pour héberger des AP tandis que la paire 9800 de « production » ou 9800 autonome est mise à niveau. La recommandation est que ce WLC N+1 9800 n'ait aucun AP enregistré sur lui AVANT que la mise à niveau N+1 ne soit lancée. 
• Exécutez les vérifications de mise à niveau et la récupération sur les AP pendant qu'ils sont enregistrés sur le WLC principal
• Pour plus de détails sur le processus et les instantanés CLI et GUI associés, référez-vous à Mise à niveau du WLC 9800 en utilisant la mise à niveau du point d'accès roulant N+1
• Dans ce processus, pour que les AP passent de manière transparente du WLC principal au WLC N+1, la version du logiciel exécutée sur le WLC N+1 et prétéléchargée vers les AP doit correspondre exactement. 
• Le prétéléchargement vers les AP est facilité par le téléchargement, mais PAS par l'activation de la version renforcée d'IOS-XE sur le WLC principal. Sans activation d'image, les correctifs logiciels ne peuvent pas être appliqués ou prétéléchargés sur les points d'accès. Ce qui signifie que le WLC N+1 ne peut pas être corrigé aussi bien. 
• Même dans ce processus, comme ISSU, les AP reportés sur le WLC N+1 continueront à être à risque pour les problèmes de connectivité et d'itinérance du client documentés dans CSCwv93265 et CSCwv98483 jusqu'à ce que le WLC N+1 soit corrigé, après la fin de la mise à niveau de l'AP roulant.
• SMU pour CSCwv98483 est un correctif à froid qui nécessite un rechargement de WLC. 
• APSP pour CSCwv93265 peut être appliqué en utilisant la mise à niveau de point d'accès en continu ou en une seule fois. Si vous utilisez la mise à niveau des points d'accès roulants, en fonction de la taille du déploiement, cela peut prendre plusieurs « heures » pour que tous les points d'accès soient mis à niveau et éviter définitivement les bogues critiques connus
• Durée totale pendant laquelle le service peut être affecté (WLC ou points d'accès sont hors service OU la connectivité/l'itinérance du client est affectée) = Temps nécessaire pour que tous les points d'accès basculent vers un WLC N+1 + Temps pour le rechargement du WLC en raison du correctif à froid SMU + Temps pour la mise à niveau progressive des points d'accès pour APSP
• Pour votre fenêtre de maintenance, prenez également en compte le temps nécessaire pour que le WLC N+1 soit mis à niveau vers des versions renforcées d'IOS-XE et pour que les AP téléchargent au préalable la version renforcée d'IOS-XE à partir du WLC principal, bien que cela n'ait aucun impact sur le service

Mise à niveau régulière N+1 des points d'accès - RECOMMANDÉE

• Cette procédure repose sur un appel de WLC 9800 de rechange en tant que WLC N+1 avec une version logicielle mise à niveau vers des AP hôtes tandis que la paire 9800 de « production » ou 9800 autonome subit une mise à niveau. 
• La recommandation est que ce WLC 9800 de rechange n'ait pas de points d'accès enregistrés AVANT que la mise à niveau N+1 ne soit lancée. 
• Le WLC N+1 de rechange peut être mis à niveau vers IOS-XE renforcé activé et validé et corrigé avec APSP et SMU, en une seule fois. Si aucun point d'accès n'est enregistré, cela n'a pas d'impact sur le service, mais vous devez tenir compte du temps nécessaire au rechargement de plusieurs WLC lors de la planification de votre fenêtre de maintenance
• Sur l'interface graphique principale du WLC où les AP sont enregistrés, naviguez jusqu'à Configuration > Tags and Profiles : Amorçage AP > Base principale
  • Définir l'adresse IP du WLC N+1 et de l'interface de gestion sans fil (WMI) comme adresse principale
  • Définir le nom WLC principal actuel et l'IP WMI sous Secondaire
• Utilisez des filtres regex pour migrer en masse les AP du WLC principal vers le WLC N+1.
• Une fois enregistrés sur le WLC N+1, les AP exécuteront déjà une version renforcée de sécurité avec des correctifs pour corriger les bogues critiques.

Durée totale pendant laquelle le service peut être affecté (WLC ou points d'accès sont en panne OU la connectivité/l'itinérance du client est affectée) = Temps nécessaire pour que les points d'accès migrent du WLC principal vers le WLC N+1, qui est dicté par la vitesse du réseau entre le point d'accès et les WLC. 

Mise à niveau en une seule opération - RECOMMANDÉE, si aucun WLC N+1 n'est présent

• Dans cette procédure, le WLC principal est mis à niveau (ainsi que l'activation et l'engagement) vers la version IOS-XE sécurisée en une seule étape.
• Dans le cadre de l'activation de l'image, le WLC principal est rechargé et tous les AP se réenregistreront auprès du WLC principal de mise à niveau et recevront la version IOS-XE sécurisée.
• Jusqu'à ce qu'APSP soit appliqué, les AP seront exposés à des problèmes de connectivité et d'itinérance des clients documentés dans CSCwv93265 et CSCwv98483 

Durée totale pendant laquelle le service peut être affecté (WLC ou points d'accès sont en panne OU la connectivité/l'itinérance du client est affectée) = Temps nécessaire au rechargement du WLC principal + Temps nécessaire au téléchargement de la version IOS-XE renforcée du WLC principal sur CAPWAP et au réenregistrement sur le WLC principal. (Doublez ce temps si le correctif SMU est appliqué) + Temps nécessaire au téléchargement du correctif APSP du WLC principal par tous les points d'accès et au réenregistrement sur le WLC principal. 

Foire aux questions