- Kemas kini terkini Cisco membetulkan kelemahan kritikal dalam ISE, SD-WAN, Nexus, ACI dan tembok api yang mendayakan RCE, peningkatan keistimewaan dan DoS.
- Beberapa pepijat dengan CVSS 10.0 menjejaskan sistem pengurusan berpusat (ISE, FMC, Pengurus SD-WAN), jadi keutamaan adalah untuk menggunakan tampalan rasmi tanpa bergantung pada penyelesaian.
- Cisco mengesyorkan pengukuhan segmentasi, kawalan port, semakan log dan pengerasan API serta perkhidmatan pengurusan sebagai pelengkap penting kepada penampalan.
- Pengurusan kemas kini yang berterusan, berserta pemantauan lanjutan dan proses keselamatan yang matang, adalah penting untuk mengurangkan risiko dalam rangkaian perusahaan berasaskan Cisco.
Kemas kini kritikal Cisco telah menjadi komponen utama strategi keselamatan siber bagi mana-mana syarikat yang bergantung pada infrastruktur rangkaiannya untuk operasi harian. Dalam beberapa bulan kebelakangan ini, satu siri nasihat keselamatan telah dikeluarkan yang menjejaskan penyelesaian sensitif seperti sistem pengurusan identiti, platform SD-WAN, suis teras dan tembok api perimeter, memaksa pasukan teknikal untuk memantau tampalan yang tersedia dengan teliti.
Apabila kerentanan dengan skor CVSS 10.0 atau lebih tinggi muncul , kita sedang membincangkan tentang kelemahan yang boleh memberikan akses jauh yang tidak disahkan, melaksanakan kod dengan keistimewaan root atau memadamkan perkhidmatan rangkaian kritikal dengan satu paket berniat jahat. Tambahkan pada ini fakta bahawa beberapa isu ini telah dieksploitasi secara aktif, dan kesimpulannya jelas: sesiapa sahaja yang mempunyai peralatan Cisco dalam pengeluaran perlu bertindak pantas, menjadualkan tetingkap penyelenggaraan dengan betul dan mengukuhkan kawalan di sekitar platform ini.
Kerentanan kritikal dalam Cisco Identity Services Engine (ISE) dan pengurusan identiti
Cisco telah mengeluarkan tampalan untuk tiga kelemahan pelaksanaan kod jauh yang tidak disahkan dalam Identity Services Engine (ISE) dan ISE Passive Identity Connector (ISE-PIC). Ketiga-tiganya mempunyai skor CVSS sebanyak 10.0, tahap keterukan tertinggi, kerana ia membolehkan penyerang jauh mendapat keistimewaan root pada sistem yang penting untuk mengawal siapa yang masuk dan apa yang mereka boleh lakukan dalam rangkaian korporat.
Kerentanan yang diumumkan sepadan dengan CVE-2025-20281, CVE-2025-20282 dan CVE-2025-20337 , semuanya berkaitan dengan pengesahan input yang diproses oleh API dalaman tertentu yang tidak mencukupi. Dalam praktiknya, penjenayah siber boleh menghantar permintaan yang dimanipulasi untuk memuat naik fail berniat jahat ke laluan istimewa atau memaksa pelaksanaan arahan sewenang-wenangnya dengan keistimewaan sistem tertinggi yang tersedia.
Berkenaan skop, ISE dan ISE-PIC versi 3.3 (sehingga Tampalan 6) dan 3.4 (sehingga Tampalan 1) terjejas . Menariknya, cabang 3.2 dan sebelumnya tidak terjejas oleh kelemahan khusus ini, jadi risiko tertumpu pada penggunaan yang agak baru-baru ini, yang biasanya dalam pengeluaran dalam persekitaran yang mencabar.
Masalah dengan jenis kerentanan ini ialah tiada penyelesaian sementara yang berkesan : tiada konfigurasi ajaib atau penyelesaian yang stabil untuk mengulur masa. Cisco sendiri menjelaskan bahawa satu-satunya kaedah mitigasi yang realistik adalah dengan memasang tampalan rasmi, yang memerlukan jadual kemas kini yang pantas untuk semua nod ISE yang terjejas.
Pembetulan ini tersedia dalam ISE/ISE-PIC 3.4 Tampalan 2 dan ISE/ISE-PIC 3.3 Tampalan 7. Walaupun pembetulan terbaru tertentu telah digunakan dalam sesetengah persekitaran (seperti pakej seperti ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz), Cisco masih mengesyorkan peningkatan kepada tampalan rasmi ini, kerana pembetulan ad-hoc sebelumnya tidak meliputi CVE-2025-20337 atau menjamin pembetulan lengkap untuk set kerentanan.
Selain menampal, adalah penting untuk mengukuhkan pendedahan antara muka pentadbiran dan API ISE . Mengehadkan akses kepada rangkaian pengurusan yang dipercayai, melindungi dengan ACL dan tembok api aplikasi, menyemak log pengesahan dan tindakan pentadbiran serta menggunakan sistem pemantauan tingkah laku membantu mengesan percubaan eksploitasi sebelum penyerang boleh meningkatkan risiko.
Empat kelemahan kritikal dalam platform pengurusan identiti Cisco
Berkaitan dengan bidang identiti dan akses yang sama ini, Cisco telah mengenal pasti empat kelemahan tahap kritikal tambahan dalam komponen utama Cisco Identity Services Engine (ISE) dan Cisco Secure Access Cloud. Penyelesaian ini membentuk asas pengesahan dan kebenaran dalam banyak rangkaian perusahaan, jadi sebarang kegagalan di sini mempunyai kesan langsung terhadap integriti, kerahsiaan dan ketersediaan infrastruktur.
Antara kelemahan yang dikesan ialah pelbagai kemungkinan pelaksanaan kod jarak jauh dan kecacatan dalam pengesahan input yang membolehkan penyerang yang tidak bernasib baik meningkatkan kebenaran, mengubah proses dalaman atau menjejaskan sepenuhnya sistem yang terjejas. Jika serangan itu berjaya, hasilnya boleh terdiri daripada akses tanpa kebenaran kepada maklumat sensitif hinggalah gangguan perkhidmatan pengesahan, menyekat akses pengguna yang sah.
Dari sudut pandangan teknikal, satu jenis kerentanan bergantung pada ralat dalam mengesahkan data yang diterima oleh API atau perkhidmatan dalaman . Melalui permintaan yang dibuat dengan teliti, adalah mungkin untuk melaksanakan arahan sewenang-wenangnya, memintas mekanisme pengesahan atau menulis ke lokasi sistem yang sepatutnya selamat, dengan kemungkinan akibat buruk dalam persekitaran pengeluaran.
Kesan terhadap ketersediaan juga ketara: memandangkan produk ini memusatkan pengurusan akses , sebarang degradasi atau masa henti yang terhasil daripada serangan boleh menyebabkan penafian perkhidmatan yang meluas untuk VPN, Wi-Fi korporat , akses berwayar dengan 802-1X atau integrasi dengan direktori pengguna.
Bagi menangani kelemahan ini, Cisco telah mengeluarkan kemas kini perisian khusus untuk versi ISE dan Secure Access Cloud yang terjejas . Pasukan keselamatan dinasihatkan untuk mengutamakan kemas kini ini dalam pelan penyelenggaraan mereka, terutamanya dalam persekitaran yang sangat bergantung pada pengesahan berpusat dan perkhidmatan akses bersyarat.
Semasa kitaran penampalan sedang dijalankan, adalah dinasihatkan untuk memperkukuhkan pemantauan log, amaran korelasi dan sistem pengesanan pencerobohan di sekitar platform ini. Menyemak corak pengesahan yang luar biasa, lonjakan ralat API dan tingkah laku anomali dalam nod ISE boleh membantu mengenal pasti percubaan eksploitasi walaupun sebelum penyerang mencapai kompromi sepenuhnya.
Kegagalan kritikal dalam Cisco Catalyst SD-WAN, Nexus dan ACI
Selain keselamatan identiti, Cisco telah menerbitkan satu set nasihat keselamatan yang komprehensif yang mempengaruhi persekitaran SD-WAN Cisco Catalyst dan beberapa keluarga suis Cisco Nexus dan ACI . Laporan teknikal tersebut memperincikan isu-isu dengan pengesahan, peningkatan keistimewaan, pendedahan maklumat dan pelbagai senario penafian perkhidmatan dengan jangkauan jauh atau bersebelahan.
Antara kes yang paling serius ialah CVE-2026-20127 dan CVE-2026-20129 , kedua-duanya berkaitan dengan pengesahan dalam Cisco Catalyst SD-WAN Controller dan Cisco Catalyst SD-WAN Manager. Yang pertama, dengan skor CVSS 10.0, membolehkan penyerang jauh yang tidak disahkan memintas proses pengintipan dan mendapatkan keistimewaan pentadbiran secara langsung pada sistem yang terjejas, memberikan mereka kawalan penuh ke atas konfigurasi SD-WAN.
Dalam kes CVE-2026-20129 , kerentanan tersebut menjejaskan pengesahan pengguna dalam API Pengurus SD-WAN Cisco Catalyst, juga dengan vektor jauh yang tidak disahkan dan skor CVSS sebanyak 9.8. Menggunakan permintaan yang direka khas, penyerang boleh mendapatkan akses dengan keistimewaan netadmin dan melaksanakan arahan dengan tahap kebenaran ini. Cisco menunjukkan bahawa Pengurus SD-WAN versi 20.18 dan yang lebih baharu tidak terjejas oleh kecacatan khusus ini.
Kerentanan peningkatan setempat seperti CVE-2026-20126 dan CVE-2026-20128 juga telah didokumenkan . Ini membolehkan pengguna dengan kebenaran terhad dalam Pengurus SD-WAN untuk mendapatkan keistimewaan root atau DCA. Dalam kedua-dua kes, eksploitasi bergantung pada penyalahgunaan API dalaman (API REST atau fungsi Ejen Pengumpulan Data) dan memerlukan kelayakan yang sah, tetapi potensi kesannya termasuk pengambilalihan sistem sepenuhnya atau akses kepada nod lain dalam persekitaran SD-WAN.
Laporan ini merangkumi rujukan kepada kelemahan terdahulu dalam Cisco SD-WAN CLI ( CVE-2022-20775 dan CVE-2022-20818 ), yang telah dieksploitasi dalam amalan dan membenarkan arahan sewenang-wenangnya dilaksanakan sebagai root daripada akses setempat yang disahkan. Walaupun kelemahan ini mempunyai skor CVSS yang sedikit lebih rendah (7.8), ia kekal sangat berbahaya dalam persekitaran di mana berbilang operator berkongsi akses baris arahan.
Di bahagian suis pusat data, nasihat menunjukkan isu seperti CVE-2026-20048 , kelemahan dalam pengendalian SNMP pada suis Cisco Nexus 9000 Series dalam mod ACI. Penyerang jauh yang disahkan, dengan akses kepada rentetan komuniti baca sahaja dalam SNMPv1/v2c atau kelayakan SNMPv3 yang sah, boleh menyebabkan penafian perkhidmatan dengan mencetuskan kesalahan kernel yang memaksa peranti but semula.
Kerentanan lain, seperti CVE-2026-20033, CVE-2026-20051 dan CVE-2026-20010 , menjejaskan Lapisan 2 dan perkhidmatan seperti LLDP pada pelbagai platform Nexus (3600, 9500-R, 9000 dalam mod ACI dan NX-OS). Dalam semua kes, ini adalah kerentanan yang boleh dieksploitasi daripada rangkaian bersebelahan, tanpa pengesahan, yang boleh menyebabkan permulaan semula yang tidak dijangka, gelung trafik Lapisan 2 atau ketepuan lebar jalur keseluruhan, mengakibatkan gangguan perkhidmatan yang teruk.
Ringkasan buletin menjelaskan bahawa tiada penyelesaian umum untuk kelemahan ini; mitigasi melibatkan pengemaskinian kepada versi perisian yang ditambal dalam SD-WAN, Nexus dan ACI. Dalam beberapa kes, langkah pengurangan permukaan dicadangkan, seperti menyegmentasikan trafik pengurusan, menapis akses kepada port yang terjejas (contohnya, menyekat akses kepada port 22 dan 830 dalam penggunaan SD-WAN), dan memantau log trafik peering dan kawalan dengan teliti.
Kemas kini besar-besaran untuk Cisco Secure Firewall, ASA dan FMC
Selain kelemahan identiti dan rangkaian, Cisco telah mengeluarkan kemas kini keselamatan utama untuk ekosistem firewallnya , yang merangkumi 48 kelemahan yang ditemui dalam Cisco Secure Firewall ASA, Secure Firewall Management Center (FMC) dan Secure Firewall Threat Defense (FTD) . Dua daripada kelemahan ini menerima skor CVSS sebanyak 10.0, meletakkannya pada tahap keterukan tertinggi.
Kerentanan yang paling kritikal terletak di Pusat Pengurusan Tembok Api Selamat Cisco , komponen yang memusatkan pentadbiran dasar, konfigurasi, penggunaan dan pemantauan tembok api korporat Cisco. Secara khususnya, dua kelemahan yang menonjol: CVE-2026-20079, berkaitan dengan pintasan pengesahan dan CVE-2026-20131, yang tertumpu pada pelaksanaan kod jarak jauh.
Kedua-dua kelemahan ini membolehkan penyerang jarak jauh mengakses FMC tanpa kelayakan yang sah dan melaksanakan kod dengan keistimewaan root pada sistem yang mengurus keseluruhan infrastruktur firewall. Kompromi sedemikian bermakna penyerang boleh mengubah suai peraturan, melumpuhkan pemeriksaan, mengalihkan trafik atau memadam bukti aktiviti berniat jahat, meningkatkan risiko ke tahap tertinggi yang mungkin dalam persekitaran perimeter.
Buletin ini juga merangkumi pelbagai kelemahan penafian perkhidmatan yang menjejaskan fungsi VPN SSL Akses Jauh dan pelayan web VPN pada ASA dan FTD. Sebahagian daripadanya mempunyai skor CVSS sebanyak 8.6, dikelaskan sebagai tahap keterukan yang tinggi, kerana ia boleh merobohkan perkhidmatan akses jauh yang selalunya penting untuk teleworking dan sambungan pihak ketiga.
Secara keseluruhan, Cisco memperincikan 25 nasihat keselamatan yang merangkumi 48 kerentanan , dengan kemas kini tersedia untuk pelbagai cabang ASA, FMC dan FTD yang disokong. Walaupun Cisco PSIRT menunjukkan bahawa, pada masa penerbitan, tiada bukti eksploitasi aktif dua kerentanan FMC kritikal, sifatnya yang jauh dan tidak disahkan serta kesannya terhadap sistem pengurusan berpusat menjadikan penampalan sangat mendesak.
Cadangan utama adalah untuk mengemas kini semua penggunaan terlebih dahulu menggunakan FMC sebagai konsol pengurusannya , merancang tetingkap penyelenggaraan berperingkat untuk mengelakkan rangkaian daripada tidak dilindungi. Selepas itu, adalah dinasihatkan untuk menggunakan tampalan pada ASA dan FTD, terutamanya pada peralatan yang terdedah secara langsung ke internet atau yang melayani pengguna jarak jauh.
Surat berita sebelumnya: Cisco Enterprise NFV, Prime, Nexus Insights dan ISE
Selain gelombang tampalan baru-baru ini, adalah penting untuk diingat bahawa Cisco telah mengumpulkan nasihat keselamatan untuk komponen utama lain dalam ekosistemnya , yang kebanyakannya masih terdapat dalam rangkaian pengeluaran. Satu contohnya ialah buletin yang menyenaraikan beberapa kelemahan berkaitan yang dikenal pasti oleh pasukan keselamatan siber seperti Netglobalis.
Nasihat tersebut menyenaraikan kelemahan seperti CVE-2021-34746 , kelemahan pintasan pengesahan dalam perisian infrastruktur Cisco Enterprise NFV, yang boleh membenarkan penyerang memintas kawalan akses kritikal dalam persekitaran virtualisasi fungsi rangkaian.
Turut perlu diberi perhatian ialah CVE-2021-34733 , satu kelemahan pendedahan maklumat dalam Cisco Prime Infrastructure dan Cisco Evolved Programmable Network Manager. Dalam kes ini, eksploitasi boleh mendedahkan data konfigurasi atau maklumat rangkaian sensitif, yang sangat berguna untuk menyediakan serangan seterusnya yang lebih disasarkan.
Dalam bidang pengurusan kolaborasi, CVE-2021-34732 merujuk kepada kelemahan skrip silang tapak (XSS) dalam proses peruntukan kolaborasi Cisco Prime, manakala CVE-2021-34759 menjejaskan Cisco Identity Services Engine dengan XSS lain yang boleh membenarkan pelaksanaan kod dalam pelayar pentadbir melalui kandungan berniat jahat.
Akhir sekali, CVE-2021-34765 disebut , iaitu kerentanan pendedahan maklumat yang disahkan dalam Cisco Nexus Insights, yang boleh memudahkan akses tanpa kebenaran kepada data dalaman tentang prestasi dan kesihatan rangkaian. Sekali lagi, ini merupakan maklumat yang sangat berharga untuk penyerang yang ingin menyerang secara lateral atau menjalankan sabotaj yang disasarkan.
Garis panduan dalam kes ini adalah jelas: pasang kemas kini yang disyorkan oleh pengilang melalui saluran rasmi mereka , selepas menilai impak terhadap perkhidmatan kritikal dan selaraskan penggunaan dengan kakitangan teknikal yang bertanggungjawab . Sebelum digunakan untuk pengeluaran, adalah dinasihatkan untuk menguji tampalan dalam persekitaran pra-pengeluaran atau makmal, menyemak nota keluaran dan mengesahkan keserasian dengan integrasi sedia ada.
Strategi mitigasi dan pengerasan dalam persekitaran Cisco
Memandangkan bilangan dan tahap keterukan kelemahan terkini, hanya memasang tampalan dan melupakannya tidak mencukupi. Adalah penting untuk menerima pakai pendekatan pertahanan mendalam dan pengerasan merentasi semua lapisan infrastruktur Cisco, daripada pengurusan identiti hinggalah satah kawalan rangkaian dan tembok api perimeter.
Dalam penggunaan SD-WAN Cisco Catalyst, sebagai contoh, Cisco mengesyorkan untuk mengehadkan trafik kepada port pengurusan sensitif (seperti 22 dan 830) hanya kepada alamat IP pengawal yang diketahui, melumpuhkan akses HTTP ke portal pengurusan dan menguatkuasakan penggunaan HTTPS dengan sijil yang dikemas kini. Menukar kata laluan pentadbir kepada versi yang lebih kukuh dan unik serta mendayakan pengesahan berbilang faktor jika boleh merupakan satu lagi lapisan perlindungan penting.
Satu perkara penting ialah semakan berterusan log aktiviti dan log gandingan peranti . Mengenal pasti sambungan pengintipan tanpa kebenaran, percubaan pengesahan yang gagal daripada sumber yang mencurigakan atau peningkatan trafik pada API pengurusan boleh memberikan petunjuk awal bahawa seseorang cuba mengeksploitasi salah satu kelemahan yang diketahui.
Dalam persekitaran Nexus dan ACI, selain memasang versi NX-OS dan firmware yang telah diperbetulkan, adalah disyorkan untuk menyegmentasikan VLAN pengurusan dengan teliti , mengehadkan akses kepada SNMP dan LLDP daripada segmen pengurusan yang dikawal dengan baik dan menggunakan senarai kawalan akses pada lapisan 2 dan 3 untuk mengehadkan skop serangan bersebelahan.
Organisasi yang banyak bergantung pada Cisco ISE dan platform IAM lain harus menyemak pendedahan antara muka pengurusan melalui VPN, rangkaian Wi-Fi tetamu atau akses jauh pihak ketiga . Memperkenalkan hos bastion, menyegmentasikan rangkaian pengurusan dan memantau panggilan API dan perubahan konfigurasi dengan teliti dapat mengurangkan kemungkinan kompromi senyap secara mendadak.
Yang paling penting, adalah dinasihatkan untuk menginstitusikan proses untuk audit berkala, imbasan kerentanan dan semakan konfigurasi berdasarkan panduan rasmi seperti Panduan Pengerasan SD-WAN Cisco Catalyst atau amalan terbaik keselamatan Cisco untuk persekitaran tembok api dan suis. Melengkapkan semakan ini dengan latihan berterusan untuk kakitangan teknikal dan penggunaan penyelesaian pemantauan berkuasa AI membantu mengesan corak luar biasa sebelum insiden meningkat menjadi pelanggaran yang serius.
Kepentingan kitaran kemas kini berterusan dan visi keselamatan global
Keseluruhan konteks amaran dan tampalan ini menjelaskan bahawa rangkaian perusahaan sentiasa berubah dan permukaan serangan berkembang dengan setiap ciri baharu diaktifkan. Cisco, sebagai salah satu pemain utama dalam sektor ini, bertindak balas dengan pakej kemas kini yang semakin komprehensif, dan adalah menjadi tanggungjawab organisasi untuk mengintegrasikannya ke dalam pelan tindakan penyelenggaraan mereka tanpa mengganggu operasi perniagaan.
Kerentanan dalam peralatan rangkaian bukan sekadar masalah teknikal; ia juga menjejaskan kepercayaan pelanggan, rakan kongsi dan pengawal selia . Kecacatan kritikal yang tidak diperbetulkan dalam tembok api perimeter, pengawal SD-WAN atau sistem pengurusan identiti boleh menyebabkan kecurian data, gangguan perkhidmatan atau insiden yang mengakibatkan penalti kawal selia dan kerosakan reputasi yang sukar diukur.
Oleh itu, banyak syarikat memilih untuk bekerjasama dengan penyedia yang pakar dalam pembangunan penyelesaian tersuai dengan keselamatan siber terbina dalam reka bentuk . Pendekatan ini membolehkan mereka mengintegrasikan perkhidmatan awan seperti AWS atau Azure tanpa melupakan keperluan keselamatan, mengiringi migrasi dengan reka bentuk semula dasar akses, pemantauan dan tindak balas insiden.
Akhirnya, cara paling realistik untuk melindungi infrastruktur rangkaian melibatkan gabungan kemas kini pantas, pengerasan konfigurasi, segmentasi pintar, pemantauan lanjutan dan latihan pasukan yang berterusan. Kemas kini kritikal Cisco berfungsi sebagai peringatan bahawa mana-mana komponen rangkaian—tidak kira betapa teguhnya ia—boleh menjadi titik masuk untuk insiden serius jika ia tidak dikemas kini dan disepadukan ke dalam strategi keselamatan yang komprehensif.
