Correzione di IOS-XE Security Advisory - Agosto 2026 e problemi critici correlati

Introduzione

Questo documento descrive i bug del software wireless segnalati con le versioni per la sicurezza avanzata pubblicate per l'advisory di Cisco IOS® XE ad agosto 2026.

Introduzione

Questo documento fornisce linee guida per l'aggiornamento per risolvere i problemi relativi a Security Advisory, FN74383 e i problemi critici.

Il 5 agosto 2026 Cisco ha rilasciato Cisco IOS XE Security Hardening Advisory che ha un impatto su più piattaforme, tra cui, a titolo esemplificativo, i controller LAN wireless serie 9800. Come documentato, questo advisory affronta diverse vulnerabilità individuate internamente, risultanti da una revisione completa della sicurezza interna da parte di Cisco IOS XE Engineering.

Piattaforme wireless incluse nella revisione

Catalyst Wireless 9800 (C9800-L, C9800-CL, C9800-40, C9800-80)

Cisco Wireless 9800 WLC (CW9800L, CW9800M, CW9800H1/H2)

Embedded Wireless 9800 su switch Catalyst (9800-SW) - supporta solo l'installazione SDA

Access point Catalyst serie 11ax 91xx basato su COS (9105/9115/9117/9120/9130/9136/9164/9166)

Cisco Wireless serie 917x Access Point (CW9171/CW9172/CW9174/CW9176/CW9178/CW9179)

Tabella 1. Versioni software incluse nella revisione e corrispondenti versioni finalizzate

*Nota: 17.18.4a supporta tutti i WLC autonomi. Per il controller LAN wireless incorporato sugli switch nelle distribuzioni SDA, usare il pacchetto wireless 17.18.4 compatibile con la versione 17.18.4 dello switch. La versione 17.18.4a non è disponibile per lo switch o il pacchetto wireless.

Bug critici

Nelle versioni con protezione avanzata indicate nella tabella 1, sono stati identificati alcuni problemi critici che possono influire sull'utilizzo di queste versioni:

• ID bug Cisco CSCwv93265
• ID bug Cisco CSCwv98483

Dettagli dei bug critici

Nota: Questo programma è disponibile in via eccezionale anche per i clienti Essentials. Contattare TAC per farla pubblicare nel caso non sia possibile scaricarla.

Versione fissa:

wireless mobility group member mac-address <peer_mac> ip <peer_ip> public-ip <peer_ip> group <peer_group> data-link-encryption

Linee guida per l'aggiornamento per i problemi critici e di consulenza

Per risolvere i problemi critici e di consulenza segnalati nelle versioni con protezione avanzata, Cisco consiglia:

1. I clienti wireless che eseguono Cisco IOS XE versione 17.12, 17.15, 17.18 procedono con i passaggi 2, 3 e 4. I clienti wireless che eseguono Cisco IOS XE versione 17.9, 26.1, attendono che la patch APSP venga inviata a cisco.com PRIMA dell'aggiornamento. Per le date di rilascio delle patch, fare riferimento alla Tabella 2.
2. Prima dell'aggiornamento, eseguire i controlli di aggiornamento e le operazioni di ripristino documentate qui per ridurre l'impatto dovuto a FN74383.
3. Aggiornare la versione di Cisco IOS XE con protezione avanzata e la patch APSP nella stessa finestra di manutenzione per evitare che il servizio wireless venga compromesso.
4. Se l'ID bug Cisco CSCwv98483 è stato danneggiato, applicare la soluzione fino a quando l'unità SMU non sarà disponibile. Una volta pubblicata la SMU, i clienti devono applicare la patch SMU.

Considerazioni sui tempi di inattività per la pianificazione della finestra di manutenzione per l'aggiornamento e le patch di Cisco IOS XE

L'aggiornamento di Cisco IOS XE su 9800 WLC configurati in configurazioni ridondanti non ridondanti o ad alta disponibilità (HA) può utilizzare vari meccanismi, ad esempio:

• Aggiornamento software in servizio (ISSU)
• Aggiornamento in sequenza N+1
• Aggiornamento one-shot

Per ulteriori informazioni, consultare la Guida introduttiva all'aggiornamento del WLC a 9800.

Inoltre, i problemi critici richiedono l'applicazione di patch con Software Maintenance Update (SMU) e Access Point Service Pack (APSP).

Per i dettagli sulle diverse opzioni di applicazione di patch supportate dal WLC 9800, fare riferimento alla guida all'aggiornamento dell'AP per il WLC 9800.

Per pianificare la finestra di manutenzione per l'aggiornamento di Cisco IOS XE + l'applicazione di patch con ciascun meccanismo di aggiornamento, tenere conto dei tempi di inattività e dell'impatto documentati in questa sezione.

Aggiornamento software in servizio (ISSU)

• Applicabile solo a coppie WLC 9800 in esecuzione in configurazione HA Stateful Switchover (HA SSO) e supportato solo tra i treni di rilascio a lunga durata e le relative release di manutenzione. (Non supportato nelle versioni con escalation e nei treni di rilascio di breve durata senza release di manutenzione).
• ISSU fornisce un'esperienza di aggiornamento senza problemi supportando coppie 9800 in HA SSO, eseguendo diverse versioni software e sfruttando l'upgrade di rollup AP. Su una coppia 9800 HA operativa, il WLC in standby viene aggiornato e, dopo l'SSO, viene aggiornato il nuovo WLC in standby. Per informazioni dettagliate sul processo ISSU e sulle CLI e le istantanee GUI corrispondenti, consultare il documento sull'aggiornamento 9800 HA SSO con ISSU.
• Eseguire i controlli di aggiornamento e il ripristino sui punti di accesso prima di avviare l'unità.
• Con IOS, la durata dell'aggiornamento non è facilmente prevedibile. A seconda delle dimensioni dell'installazione e della velocità della rete, l'aggiornamento può richiedere diverse "ore".
• Inoltre, l'ISSU sfrutta l'upgrade in sequenza degli AP, in cui gli AP vengono riavviati in modo scaglionato per ridurre al minimo i tempi di inattività. Tuttavia, in questo caso, significa che i client connessi agli access point con versione rinforzata continuano a sperimentare i problemi di connettività e roaming documentati negli ID bug Cisco CSCwv93265 e CSCwv98483 finché non viene applicata la patch al WLC dopo l'aggiornamento dell'IOS.
• La SMU per l'ID bug Cisco CSCwv98483 è una patch a freddo che richiede il ricaricamento del WLC.
• È possibile applicare APSP per Cisco con ID bug CSCwv93265 usando l'aggiornamento Rolling AP o in un'unica operazione. Se si utilizza l'aggiornamento in sequenza degli access point, a seconda delle dimensioni dell'implementazione, l'aggiornamento di tutti gli access point può richiedere diverse "ore" ed evitare definitivamente i bug critici noti.
• Durata totale in cui il servizio può essere influenzato (il WLC o gli AP sono inattivi OPPURE la connettività/il roaming del client è influenzato) = Tempo necessario per completare l'ISSU + Tempo necessario per il ricaricamento del WLC a causa della patch a freddo SMU + Tempo necessario per l'aggiornamento in sequenza dell'AP per l'APSP.

Aggiornamento punto di accesso in sequenza N+1

• Questa procedura si basa su un WLC 9800 di riserva chiamato come N+1 WLC con versione software aggiornata agli access point host, mentre la "produzione" di 9800 doppini o 9800 standalone viene aggiornata. Si consiglia di non registrare alcun punto di accesso per questo WLC N+1 9800 PRIMA di avviare l'aggiornamento in sequenza N+1.
• Eseguire i controlli di aggiornamento e il ripristino sugli access point mentre sono registrati sul WLC primario.
• Per i dettagli sul processo e le istantanee CLI e GUI associate, consultare il documento sull'aggiornamento del WLC 9800 con l'aggiornamento del Rolling AP N+1.
• In questo processo, per consentire agli AP di passare senza problemi dal WLC principale al WLC N+1, la versione software in esecuzione sul WLC N+1 e pre-scaricata sugli AP deve corrispondere esattamente.
• Il pre-download sugli access point è facilitato dal download, ma NON dall'attivazione della versione hardened di Cisco IOS XE sul WLC primario. Senza l'attivazione dell'immagine, non è possibile applicare o pre-scaricare le patch software sui punti di accesso. Il che, a sua volta, significa che non è possibile applicare patch anche al WLC N+1.
• Anche in questo processo, come nell'ISSU, i punti di accesso trasferiti su WLC N+1 continuano a essere a rischio per i problemi di connettività dei client e roaming documentati negli ID bug Cisco CSCwv93265 e CSCwv98483 finché non viene applicata la patch al WLC N+1, dopo il completamento dell'aggiornamento ricorrente.
• La SMU per l'ID bug Cisco CSCwv98483 è una patch a freddo che richiede il ricaricamento del WLC.
• È possibile applicare APSP per Cisco con ID bug CSCwv93265 usando l'aggiornamento Rolling AP o in un'unica operazione. Se si utilizza l'aggiornamento in sequenza degli access point, a seconda delle dimensioni dell'implementazione, l'aggiornamento di tutti gli access point può richiedere diverse "ore" ed evitare definitivamente i bug critici noti.
• Durata totale in cui il servizio può essere influenzato (il WLC o gli AP sono inattivi O la connettività/roaming del client è influenzata) = Tempo impiegato da tutti gli AP per eseguire il rollover su N+1 WLC + Tempo impiegato per il ricaricamento del WLC a causa della patch a freddo SMU + Tempo impiegato per l'aggiornamento in sequenza dell'AP per l'APSP.
• Per la finestra di manutenzione, tenere conto anche del tempo impiegato per l'aggiornamento del WLC N+1 alle versioni con protezione avanzata Cisco IOS XE e per il pre-download della versione con protezione avanzata Cisco IOS XE dal WLC principale da parte degli AP, anche se nessuna di queste versioni ha alcun impatto sul servizio.

Aggiornamento normale punto di accesso N+1 - CONSIGLIATO

• Questa procedura si basa su una chiamata 9800 WLC di riserva come N+1 WLC con versione software aggiornata agli access point dell'host, mentre la "produzione" di una coppia 9800 o standalone 9800 viene aggiornata.
• Si consiglia di non registrare alcun access point su questo WLC di riserva 9800 PRIMA di avviare l'aggiornamento in sequenza N+1.
• Il WLC di riserva N+1 può essere aggiornato a Cisco IOS XE, attivato, eseguito e dotato di patch con APSP e SMU, in un'unica operazione. Senza punti di accesso registrati, questo non ha alcun impatto sul servizio, ma è necessario tenere conto del tempo impiegato per il ricaricamento di più WLC quando si pianifica la finestra di manutenzione.
• Nell'interfaccia utente principale del WLC in cui sono registrati gli access point, passare a Configurazione > Tag e profili: Priming AP > Base primaria.
  • Definire l'indirizzo IP di N+1 WLC e Wireless Management Interface (WMI) come principale.
  • Definire il nome WLC primario corrente e l'indirizzo IP WMI in Secondario.
• Usare i filtri regex per eseguire la migrazione bulk degli AP dal WLC primario al WLC N+1.
• Una volta registrati su N+1 WLC, gli access point sono già in esecuzione su una versione con protezione avanzata insieme alle patch per correggere i bug critici.

Durata totale in cui il servizio può essere influenzato (il WLC o gli AP sono inattivi OPPURE la connettività/il roaming del client è influenzato) = Tempo impiegato dagli AP per migrare dal WLC primario al WLC N+1 imposto dalla velocità di rete tra gli AP e i WLC.

One-Shot Upgrade - CONSIGLIATO, se non è presente alcun WLC N+1

• In questa procedura, il WLC principale viene aggiornato (insieme all'attivazione e all'impegno) alla versione Cisco IOS XE con protezione avanzata in un unico passaggio.
• Come parte dell'attivazione dell'immagine, il WLC primario viene ricaricato e tutti gli AP si registrano nuovamente con il WLC primario di aggiornamento e ricevono la versione Cisco IOS XE con protezione avanzata.
• Finché non viene applicato l'APSP, i punti di accesso sono a rischio per i problemi di connettività dei client e roaming documentati negli ID bug Cisco CSCwv93265 e CSCwv98483.

Durata totale in cui il servizio può essere influenzato (WLC o AP inattivi O connettività/roaming client interessati) = Tempo impiegato per il ricaricamento del WLC primario + Tempo impiegato da tutti gli AP per scaricare la versione Cisco IOS XE con protezione avanzata dal WLC primario su CAPWAP e registrarsi nuovamente sul WLC primario. (Raddoppiare questa durata se viene applicata la patch SMU) + Tempo impiegato da tutti gli AP per scaricare la patch APSP dal WLC primario e registrarsi nuovamente sul WLC primario.

Domande frequenti