思科 10 月 21 日发布公告 cisco-sa-vcs-static-cred-hr7EWZ8t，披露 Cisco Expressway 系列存在未认证远程命令执行漏洞 CVE-2026-76466，CVSS 3.1 评分 9.8。攻击者只要能把请求送到设备的数据库服务端口，就能以 root 身份在底层操作系统执行命令，全程不需要登录。该产品大量部署在 DMZ，用于让远程员工不挂 VPN 也能接入内部协作系统。
事件概述
漏洞由 Jane Street 的 Stefan Aleksic 报告，思科 PSIRT 在 10 月 21 日确认。受影响的是配置为集群模式的 Expressway-C 与 Expressway-E，虚拟化与硬件形态均在列，版本覆盖 X15.5.3 及更早、以及 X14 及更早。修复版本为 X15.5.20，X14 及更早无补丁，必须迁移到受支持的修复版本；该修复也包含在 2026 年 10 月的 Expressway 系列安全加固版本中。
技术细节：两个信任假设同时失效
公告把根因归为 CWE-798（硬编码凭据）。第一层问题在于数据库服务信任持久 cookie——一个可预测、长期不变的 cookie 不需要通过登录窃取，它本身就是静态凭据。第二层问题在于集群的 TLS Verify Mode 设为 Enabled 时，服务并没有真正校验对端出示的客户端证书，本该用来证明「你是合法集群节点」的机制形同虚设。
两者叠加的结果是：持有 cookie 的攻击者连接数据库服务，调用特定 RPC 命令，设备就以 root 身份执行。CVSS 向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 中的 PR:N 与 UI:N 正是这一点的量化表达。
影响评估
这类设备通常同时持有内网协作与外部接入两条链路，拿到 root 意味着可以读取集群配置、证书与账号数据，也能把设备当作向内网横向移动的跳板。截至 10 月 21 日，思科 PSIRT 表示未发现公开利用代码或在野利用，CVE-2026-76466 未被列入 CISA KEV（目录版本 2026.10.21），也暂无公开 PoC。不过「未认证 + 低复杂度 + 无缓解方案」三项叠加，意味着一旦 PoC 出现，暴露在公网的实例会被快速扫到。
修复建议
思科明确说明没有替代缓解方案，唯一手段是升级。若短期无法升级，只能收窄暴露面：把数据库服务端口限制为集群节点间地址，禁止从互联网与其他业务网段访问，并复核集群 TLS 配置的实际生效状态。
# 核对当前版本
ssh admin@expressway-e "cat /etc/version"
# 确认集群 TLS Verify 状态
ssh admin@expressway-e "grep -i verify /etc/cluster/*.conf"排查时优先关注两类痕迹：非集群节点地址对数据库服务端口的连接，以及 TLS Verify 已开启却仍接受不明客户端证书的握手记录。升级后建议轮换集群凭据并复查所有对外暴露的协作类设备，同批次的其他 Expressway 通告也应一并核对。