Cisco IOS XE is widely deployed; improper access control can enable unauthorized administrative access and network-wide disruption, affecting many enterprises.
CVE-2026-20267
Access-control vulnerabilities in Cisco IOS XE allow unauthorized administrative access.
Is CVE-2026-20267 being exploited?
Not confirmed. CVE-2026-20267 does not appear in CISA's Known Exploited Vulnerabilities catalog, which records only exploitation that has been observed and reported publicly. That is evidence of absence of a report, not evidence the flaw is unattacked. EPSS currently estimates a 0.26% probability of exploitation in the next 30 days.
How severe is CVE-2026-20267?
CVE-2026-20267 is rated Critical with a CVSS score of 9.0. Severity describes how bad exploitation would be, not how likely it is: pair it with exploitation evidence before deciding what to patch first.
Is there a patch for CVE-2026-20267?
Yes. A fix has been recorded for CVE-2026-20267. The vendor advisory is the authority on the exact fixed version — apply it from there rather than from a summary.
What does CVE-2026-20267 affect?
CVE-2026-20267 affects Cisco IOS XE Software, Routers and switches running IOS XE, Enterprise network infrastructure (Catalyst/ISR/ASR/SD-WAN devices). Confirm the exact affected versions against the vendor advisory before deciding you are exposed.
What should I do about CVE-2026-20267?
Apply IOS XE security updates immediately; restrict and monitor management access.
Exploitation status reflects CISA's KEV catalog as we last synced it. Check the catalog directly.
Bypass access controls to read/modify device configs, perform privileged actions, disrupt routing, or pivot into internal networks.
Immediate action required
- affected17.2.1a
- affected16.12.1y
- affected16.12.3s
- affected16.7.1b
- affected16.6.2
- affected16.6.5
- affected16.12.1w
- affected16.9.1d
- affected17.3.1
- affected16.9.4c
- affected16.7.1
- affected17.2.1
- affected16.6.8
- affected16.9.1b
- affected16.9.2s
- affected16.12.4
- affected16.12.3a
- affected17.1.1s
- affected16.11.1a
- affected16.7.2
- affected16.11.1b
- affected16.9.1s
- affected16.9.3h
- affected16.9.1c
- affected16.6.5a
- affected16.6.3
- affected16.10.1f
- affected17.2.1v
- affected16.8.1e
- affected16.9.3a
- affected16.12.1a
- affected16.12.1x
- affected16.6.4s
- affected16.10.1c
- affected16.12.3
- affected16.11.2
- affected16.6.5b
- affected16.12.2s
- affected16.10.1b
- affected16.7.3
- affected16.6.7
- affected16.9.6
- affected16.9.2
- affected16.10.1
- affected16.12.1t
- affected16.9.1
- affected16.8.1a
- affected16.9.3s
- affected16.6.7a
- affected16.12.2
- affected16.11.1
- affected16.9.3
- affected16.11.1s
- affected16.12.1
- affected17.1.1
- affected17.1.2
- affected16.10.1d
- affected17.1.1t
- affected16.9.4
- affected16.8.3
- affected16.12.2t
- affected16.9.5
- affected16.8.1s
- affected16.10.1e
- affected16.8.2
- affected16.6.4
- affected16.8.1b
- affected16.10.1a
- affected16.12.1z
- affected16.8.1c
- affected16.9.1a
- affected16.9.5f
- affected16.6.4a
- affected16.10.1g
- affected16.8.1
- affected16.6.6
- affected16.9.2a
- affected16.8.1d
- affected16.10.3
- affected16.7.1a
- affected16.11.1c
- affected16.10.1s
- affected17.2.1r
- affected17.1.1a
- affected16.10.2
- affected16.12.2a
- affected16.12.1c
- affected16.12.1s
- affected16.7.4
- affected17.2.2
- affected16.9.8
- affected16.9.7
- affected17.1.3
- affected17.3.1a
- affected17.3.2a
- affected16.12.5
- affected17.3.1w
- affected17.3.2
- affected17.4.1
- affected16.12.4a
- affected17.4.1a
- affected17.3.1x
- affected17.3.3
- affected16.6.9
- affected17.2.3
- affected17.5.1
- affected16.12.1z1
- affected16.12.5a
- affected17.4.1b
- affected17.3.1z
- affected16.12.5b
- affected17.4.2
- affected17.3.3a
- affected17.3.5
- affected17.3.4
- affected17.5.1a
- affected16.12.6
- affected17.6.1
- affected16.12.1z2
- affected16.6.10
- affected17.3.4a
- affected17.6.1a
- affected17.7.1
- affected17.6.1x
- affected17.6.2
- affected16.12.6a
- affected17.3.4c
- affected17.4.2a
- affected17.3.4b
- affected17.7.1a
- affected16.12.7
- affected17.8.1a
- affected17.6.3a
- affected17.6.3
- affected17.7.2
- affected17.7.1b
- affected17.9.1w
- affected17.3.5a
- affected17.6.1z
- affected16.12.8
- affected17.8.1
- affected17.9.1
- affected17.6.4
- affected17.3.5b
- affected17.9.1a
- affected17.3.6
- affected17.10.1
- affected16.9.8a
- affected17.6.1z1
- affected17.10.1a
- affected17.9.2
- affected17.6.5
- affected17.9.1x
- affected17.9.1y
- affected16.9.8b
- affected17.3.7
- affected17.9.2a
- affected17.9.3
- affected16.12.9
- affected17.11.1
- affected17.10.1b
- affected17.6.6
- affected17.9.1x1
- affected17.11.1a
- affected17.9.3a
- affected17.12.1
- affected17.3.8
- affected17.9.4
- affected16.12.10
- affected17.12.1w
- affected17.9.1y1
- affected17.12.1a
- affected17.9.5
- affected17.13.1
- affected17.12.1x
- affected17.12.2
- affected17.14.1
- affected17.9.4a
- affected17.3.8a
- affected17.6.6a
- affected17.6.5a
- affected17.6.7
- affected16.12.10a
- affected17.15.1
- affected17.13.1a
- affected17.12.2a
- affected16.12.11
- affected17.12.3
- affected17.12.1y
- affected17.12.1z
- affected17.9.5a
- affected17.14.1a
- affected17.9.5b
- affected17.6.8
- affected16.12.12
- affected17.12.4
- affected17.9.6
- affected17.17.1
- affected17.16.1
- affected17.15.1w
- affected17.12.3a
- affected17.9.5c
- affected17.15.1a
- affected17.12.1z1
- affected17.15.2
- affected17.15.1b
- affected17.9.5d
- affected17.15.1x
- affected17.9.6a
- affected17.12.1z2
- affected17.6.8a
- affected17.16.1a
- affected16.12.13
- affected17.15.3
- affected17.9.7
- affected17.12.5
- affected17.15.1y
- affected17.9.5e
- affected17.12.4a
- affected17.15.2a
- affected17.15.2c
- affected17.15.2b
- affected17.12.1z3
- affected17.9.5f
- affected17.12.4b
- affected17.12.5a
- affected17.18.1
- affected17.12.6
- affected17.12.1z4
- affected17.9.8
- affected17.9.7a
- affected17.15.3a
- affected17.15.4
- affected17.12.5b
- affected17.15.3b
- affected16.12.14
- affected17.18.1z
- affected17.9.7b
- affected17.12.5c
- affected26.1.1
- affected17.18.1a
- affected17.15.4a
- affected17.18.2
- affected17.18.1w
- affected17.15.4b
- affected17.12.6a
- affected17.12.7
- affected17.15.4c
- affected17.9.9
- affected17.12.5d
- affected16.12.15
- affected17.15.4s1
- affected17.15.5
- affected17.12.1z5
- affected17.18.1x
- affected17.12.1z6
- affected17.15.4d
- affected17.12.6b
- affected17.4.1c
- affected17.15.5a
- affected17.18.1y
- affected17.12.7a
- affected17.18.3
- affected17.12.7b
- affected17.18.3a
- affected26.1.1a
- affected17.15.7
- affected16.12.16
As published in the CVE Program record. A version outside these ranges is not a statement that it is unaffected — vendors sometimes understate a range, and distribution-backported builds carry upstream numbers that do not reflect what was patched into them.