Cisco ha emitido una advertencia sobre varias vulnerabilidades de ClamAV que afectan a sus productos Secure Endpoint Connector en Windows, macOS y Linux. En total son siete fallos vinculados a problemas de análisis de distintos formatos de archivo, y el aviso incluye el dato de que existen códigos de prueba de concepto (PoC) públicos para algunas de las fallas.
El riesgo principal se concentra en entornos Windows, donde el proceso de escaneo se ejecuta con privilegios elevados. Además, Cisco indica que no hay una mitigación alternativa (workaround) para ninguno de los problemas y que las correcciones se aplicarán mediante actualizaciones programadas para agosto en todas las variantes del conector.
Qué vulnerabilidades de ClamAV están en juego
Los defectos se rastrean con los identificadores CVE-2026-20337 a CVE-2026-20339 y CVE-2026-20345 a CVE-2026-20348. Según Cisco, los problemas se originan en los parsers (componentes de análisis) de ClamAV para múltiples formatos de archivo.
En concreto, Cisco menciona que las vulnerabilidades se relacionan con la manipulación de archivos en formatos como ZIP, GPT, PESpin, PDF, Mach-O y XAR. Esta clase de fallos suele ser crítica en sistemas de seguridad porque el escaneo se dispara justo cuando el software intenta interpretar contenido potencialmente malicioso.
Por qué el impacto es más alto en Windows
La severidad del riesgo no es idéntica en todas las plataformas. Cisco sostiene que en Windows el riesgo es alto, ya que el proceso de escaneo de ClamAV se ejecuta en un contexto de seguridad privilegiado. En la práctica, esto significa que cualquier comportamiento inesperado en el escáner puede tener consecuencias más graves.
En cambio, en macOS y Linux el riesgo se clasifica como de severidad media, porque el proceso de escaneo corre con menos privilegios. Aun así, el objetivo del atacante sería aprovechar el fallo para provocar condiciones de denegación de servicio (DoS), impidiendo el funcionamiento correcto del análisis.
DoS y PoC público: señales que conviene tomar en serio
La advertencia de Cisco también incluye un elemento que acelera la preocupación: poco después de que ClamAV desplegara correcciones, la empresa publicó un aviso indicando que existe código PoC público dirigido a CVE-2026-20337 y CVE-2026-20338.
Aunque Cisco no describe en el aviso un escenario detallado de explotación en el mundo real, sí recalca que las fallas pueden llevar a condiciones de DoS. Este tipo de impacto, en entornos corporativos, puede traducirse en interrupciones del servicio de inspección de archivos, pérdida de visibilidad o retrasos en la respuesta ante amenazas.
Estado de parches: ClamAV 1.5.4 y actualizaciones para agosto
Desde el lado del software base, Cisco señala que las correcciones de las vulnerabilidades se incluyeron en ClamAV 1.5.4. Además, esa misma versión aporta el parche asociado a una debilidad de path traversal en WinRAR para Windows, que podría permitir ejecución de código arbitrario.
En paralelo, Cisco indica que no existe workaround para las vulnerabilidades. Por eso, el camino recomendado pasa por aplicar las actualizaciones de seguridad.
De acuerdo con la hoja de ruta comunicada, las actualizaciones que corrigen estos fallos se distribuirán en agosto para todos los productos Secure Endpoint Connector. Mientras tanto, Cisco recomienda a sus clientes preparar el despliegue y coordinar el proceso de actualización para reducir el margen de exposición.
Qué productos sí y cuáles no se ven afectados
La advertencia aclara que Secure Endpoint Private Cloud no está afectado. Sin embargo, el componente Secure Endpoint Connector sí presenta impacto.
Además, Cisco sugiere una acción operativa concreta: empujar (push) los parches disponibles hacia los endpoints desde la nube. Señala que las correcciones ya están incluidas en Secure Endpoint Private Cloud releases 4.2.8 y posteriores, lo que facilita el intercambio entre la plataforma en la nube y los sistemas donde corre el conector.
Acción recomendada a nivel de usuario final
- Verificar si el entorno utiliza Secure Endpoint Connector en Windows, macOS o Linux.
- Confirmar si ya se dispone de Secure Endpoint Private Cloud 4.2.8 o superior para incorporar los parches.
- Preparar el despliegue en agosto y coordinar el “push” de correcciones hacia los endpoints.
¿Hay explotación activa en sistemas reales?
En su comunicación, Cisco indica que no tiene conocimiento de que estas vulnerabilidades estén siendo explotadas en el mundo real (“in the wild”). Aun así, el hecho de que haya PoC público para algunas de las CVE refuerza la conveniencia de actuar de forma temprana, especialmente en sistemas Windows.
Cuando existen PoC disponibles, la ventana de exposición puede acortarse rápidamente: lo que hoy es una demostración técnica puede convertirse en una herramienta aprovechada por terceros. Por eso, aunque no haya evidencia de explotación activa, aplicar correcciones sigue siendo una práctica prudente.
Consejos de higiene de seguridad para reducir el riesgo
Más allá del parcheo, conviene reforzar prácticas que ayuden a contener los efectos de un fallo en el proceso de análisis. Algunas acciones típicas incluyen: revisar el estado de actualizaciones del motor antivirus, validar que los servicios de inspección están respondiendo correctamente y controlar logs para detectar comportamientos anómalos asociados a intentos de archivo.
También es útil revisar el proceso interno de gestión de cambios para que la actualización llegue a tiempo en todos los endpoints relevantes. Si su organización depende de inspección de archivos para flujos de correo o intercambio de documentos, cualquier interrupción por DoS puede afectar la operación diaria.
Conclusión
Las CVE-2026 ClamAV señaladas por Cisco apuntan a fallas en parsers de varios formatos de archivo y pueden desembocar en denegación de servicio. El impacto es alto en Windows debido a la ejecución del escaneo con privilegios elevados, mientras que en macOS y Linux se considera de severidad media.
Como no hay workaround, la mejor respuesta es aplicar las correcciones: ClamAV incorpora los parches en 1.5.4 y, en el ecosistema Secure Endpoint Connector, Cisco espera la distribución de actualizaciones para agosto. Si usa Secure Endpoint Private Cloud, asegúrese de que la versión incluya las correcciones (4.2.8 o superior) y prepare el empuje de parches hacia los endpoints para minimizar el riesgo.
Fuente: https://www.securityweek.com/cisco-warns-of-high-severity-clamav-vulnerabilities-with-public-poc/
