- Najnowsze aktualizacje firmy Cisco usuwają krytyczne luki w zabezpieczeniach ISE, SD-WAN, Nexus, ACI i zapór sieciowych, które umożliwiają zdalne wykrywanie zagrożeń (RCE), eskalację uprawnień i ataki DoS.
- Kilka błędów w CVSS 10.0 wpływa na scentralizowane systemy zarządzania (ISE, FMC, SD-WAN Manager), dlatego priorytetem jest stosowanie oficjalnych poprawek, a nie poleganie na obejściach.
- Cisco zaleca wzmocnienie segmentacji, kontroli portów, przeglądu logów i wzmocnienia interfejsów API oraz usług zarządzania jako niezbędne uzupełnienie wdrażania poprawek.
- Ciągłe zarządzanie aktualizacjami, a także zaawansowany monitoring i dojrzałe procesy bezpieczeństwa mają kluczowe znaczenie dla ograniczenia ryzyka w sieciach przedsiębiorstw opartych na rozwiązaniach Cisco.
Krytyczne aktualizacje Cisco stały się kluczowym elementem strategii cyberbezpieczeństwa dla każdej firmy, której codzienne funkcjonowanie opiera się na infrastrukturze sieciowej. W ostatnich miesiącach wydano szereg ostrzeżeń dotyczących bezpieczeństwa, które dotyczą wrażliwych rozwiązań, takich jak systemy zarządzania tożsamością, platformy SD-WAN, przełączniki rdzeniowe i zapory sieciowe, zmuszając zespoły techniczne do ścisłego monitorowania dostępnych poprawek.
Gdy pojawiają się luki w zabezpieczeniach z wynikami CVSS na poziomie 10.0 lub wyższym , mówimy o lukach, które mogą umożliwić nieuwierzytelniony dostęp zdalny, wykonanie kodu z uprawnieniami roota lub zablokowanie krytycznych usług sieciowych za pomocą jednego złośliwego pakietu. Dodajmy do tego fakt, że niektóre z tych problemów są już aktywnie wykorzystywane, a wniosek jest jasny: każdy, kto posiada sprzęt Cisco w środowisku produkcyjnym, musi działać szybko, odpowiednio zaplanować przerwy konserwacyjne i wzmocnić kontrolę nad tymi platformami.
Krytyczne luki w zabezpieczeniach Cisco Identity Services Engine (ISE) i zarządzaniu tożsamościami
Firma Cisco udostępniła poprawki dla trzech luk umożliwiających zdalne wykonanie kodu bez uwierzytelnienia w Identity Services Engine (ISE) i ISE Passive Identity Connector (ISE-PIC). Wszystkie trzy mają wynik CVSS na poziomie 10.0, co stanowi najwyższy poziom zagrożenia, ponieważ umożliwiają zdalnemu atakującemu uzyskanie uprawnień roota w systemach kluczowych dla kontrolowania, kto ma dostęp do sieci korporacyjnej i jakie działania może w niej wykonywać.
Zgłoszone luki odpowiadają lukom CVE-2025-20281, CVE-2025-20282 i CVE-2025-20337 , które wszystkie dotyczą niewystarczającej walidacji danych wejściowych przetwarzanych przez niektóre wewnętrzne interfejsy API. W praktyce cyberprzestępca może wysyłać zmanipulowane żądania przesłania złośliwych plików na uprzywilejowane ścieżki lub wymusić wykonanie dowolnych poleceń z najwyższymi dostępnymi uprawnieniami systemowymi.
Jeśli chodzi o zakres, zagrożone są wersje ISE i ISE-PIC 3.3 (do poprawki 6) i 3.4 (do poprawki 1) . Co ciekawe, gałęzie 3.2 i starsze nie są dotknięte tymi konkretnymi lukami, więc ryzyko koncentruje się w stosunkowo niedawnych wdrożeniach, które zazwyczaj dotyczą środowisk produkcyjnych w wymagających środowiskach.
Problem z tego typu lukami polega na tym, że nie ma skutecznych rozwiązań tymczasowych : nie ma „cudownej” konfiguracji ani stabilnego obejścia, które pozwoliłoby zyskać na czasie. Sama firma Cisco jasno stwierdza, że jedyną realistyczną metodą zaradzenia temu problemowi jest instalacja oficjalnych poprawek, co wymaga szybkiego harmonogramu aktualizacji dla wszystkich zagrożonych węzłów ISE.
Poprawki są dostępne w ISE/ISE-PIC 3.4 Patch 2 i ISE/ISE-PIC 3.3 Patch 7. Mimo że w niektórych środowiskach zastosowano określone poprawki (np. w pakietach takich jak ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz), Cisco nadal zaleca aktualizację do tych oficjalnych poprawek, ponieważ poprzednie poprawki doraźne nie obejmują CVE-2025-20337 ani nie gwarantują całkowitego usunięcia zestawu luk.
Oprócz stosowania poprawek, kluczowe jest wzmocnienie widoczności interfejsów administracyjnych i interfejsów API platformy ISE . Ograniczanie dostępu do zaufanych sieci zarządzania, ochrona za pomocą list kontroli dostępu (ACL) i zapór aplikacji, przeglądanie dzienników uwierzytelniania i działań administracyjnych oraz wdrażanie systemów monitorowania zachowań pomagają wykrywać próby wykorzystania luk, zanim atakujący zdąży się zaostrzyć.
Cztery krytyczne luki w zabezpieczeniach platform zarządzania tożsamością Cisco
W tym samym obszarze tożsamości i dostępu, Cisco zidentyfikowało cztery dodatkowe luki o znaczeniu krytycznym w kluczowych komponentach Cisco Identity Services Engine (ISE) i Cisco Secure Access Cloud. Rozwiązania te stanowią podstawę uwierzytelniania i autoryzacji w wielu sieciach przedsiębiorstw, dlatego każda awaria w tym obszarze ma bezpośredni wpływ na integralność, poufność i dostępność infrastruktury.
Wśród wykrytych słabości znajdują się różne możliwości zdalnego wykonania kodu oraz luki w walidacji danych wejściowych , które umożliwiają nieuprawnionemu atakującemu eskalację uprawnień, modyfikację procesów wewnętrznych lub całkowite przejęcie kontroli nad systemami. W przypadku powodzenia ataku, skutki mogą obejmować nieautoryzowany dostęp do poufnych informacji, a nawet zakłócenie działania usług uwierzytelniania, blokując dostęp uprawnionym użytkownikom.
Z technicznego punktu widzenia, jeden rodzaj podatności polega na błędach w walidacji danych otrzymywanych przez interfejsy API lub usługi wewnętrzne . Poprzez starannie skonstruowane żądania możliwe jest wykonywanie dowolnych poleceń, omijanie mechanizmów uwierzytelniania lub zapisywanie danych w lokalizacjach systemowych, które powinny być bezpieczne, co może mieć katastrofalne skutki w środowiskach produkcyjnych.
Dostępność ma również znaczący wpływ: ponieważ produkty te centralizują zarządzanie dostępem , jakiekolwiek pogorszenie jakości lub przestoje spowodowane atakiem mogą skutkować powszechną odmową usługi w przypadku sieci VPN, korporacyjnych sieci Wi-Fi , dostępu przewodowego z protokołem 802-1X lub integracji z katalogami użytkowników.
Aby zaradzić tym lukom, firma Cisco wydała specjalne aktualizacje oprogramowania dla zagrożonych wersji ISE i Secure Access Cloud . Zespołom ds. bezpieczeństwa zaleca się priorytetowe traktowanie tych aktualizacji w ramach planu konserwacji, szczególnie w środowiskach, w których w dużym stopniu opiera się na scentralizowanym uwierzytelnianiu i usługach dostępu warunkowego.
W trakcie cyklu wdrażania poprawek zaleca się wzmocnienie monitorowania logów, alertów korelacyjnych i systemów wykrywania włamań na tych platformach. Analiza nietypowych wzorców uwierzytelniania, skoków liczby błędów API i anomalii w węzłach ISE może pomóc w identyfikacji prób wykorzystania luk, zanim atakujący osiągnie pełną przepaść.
Krytyczne awarie w Cisco Catalyst SD-WAN, Nexus i ACI
Oprócz bezpieczeństwa tożsamości, Cisco opublikowało kompleksowy zestaw ostrzeżeń dotyczących bezpieczeństwa, które dotyczą środowisk Cisco Catalyst SD-WAN oraz kilku rodzin przełączników Cisco Nexus i ACI . Raport techniczny szczegółowo opisuje problemy związane z uwierzytelnianiem, eskalacją uprawnień, ujawnianiem informacji oraz wieloma scenariuszami odmowy usługi (DDoS) w zasięgu zdalnym lub sąsiednim.
Do najpoważniejszych przypadków należą CVE-2026-20127 i CVE-2026-20129 , oba związane z uwierzytelnianiem w kontrolerze Cisco Catalyst SD-WAN i menedżerze Cisco Catalyst SD-WAN. Pierwszy z nich, z wynikiem CVSS na poziomie 10.0, pozwala nieuwierzytelnionemu zdalnemu atakującemu ominąć proces peeringu i bezpośrednio uzyskać uprawnienia administracyjne w systemie, co daje mu pełną kontrolę nad konfiguracją SD-WAN.
W przypadku luki CVE-2026-20129 luka dotyczy uwierzytelniania użytkowników w interfejsie API Cisco Catalyst SD-WAN Manager, również z nieuwierzytelnionym wektorem zdalnym i wynikiem CVSS na poziomie 9.8. Za pomocą specjalnie spreparowanego żądania atakujący może uzyskać dostęp z uprawnieniami administratora sieci i wykonywać polecenia z tym poziomem uprawnień. Cisco informuje, że wersja SD-WAN Manager 20.18 i nowsze nie są dotknięte tą konkretną luką.
Udokumentowano również luki w zabezpieczeniach umożliwiające eskalację lokalną, takie jak CVE-2026-20126 i CVE-2026-20128 . Umożliwiają one użytkownikowi z ograniczonymi uprawnieniami w programie SD-WAN Manager uzyskanie uprawnień roota lub DCA. W obu przypadkach wykorzystanie luk opiera się na nadużyciu wewnętrznych interfejsów API (API REST lub funkcji agenta gromadzenia danych) i wymaga prawidłowych poświadczeń, ale potencjalny wpływ obejmuje całkowite przejęcie systemu lub dostęp do innych węzłów w środowisku SD-WAN.
Raport zawiera odniesienia do wcześniejszych luk w interfejsie wiersza poleceń Cisco SD-WAN ( CVE-2022-20775 i CVE-2022-20818 ), które zostały już wykorzystane w praktyce i umożliwiają wykonywanie dowolnych poleceń z uprawnieniami użytkownika root z uwierzytelnionego dostępu lokalnego. Chociaż luki te mają nieco niższy wynik CVSS (7.8), pozostają one wysoce niebezpieczne w środowiskach, w których wielu operatorów współdzieli dostęp do wiersza poleceń.
Po stronie przełączników w centrach danych, ostrzeżenia wskazują na problemy takie jak CVE-2026-20048 , czyli lukę w zabezpieczeniach obsługi protokołu SNMP w przełącznikach Cisco Nexus serii 9000 w trybie ACI. Uwierzytelniony zdalny atakujący, mający dostęp do ciągu community tylko do odczytu w protokołach SNMPv1/v2c lub prawidłowych poświadczeń SNMPv3, może spowodować odmowę usługi, wywołując błąd jądra wymuszający ponowne uruchomienie urządzenia.
Inne luki, takie jak CVE-2026-20033, CVE-2026-20051 i CVE-2026-20010 , wpływają na warstwę 2 i usługi takie jak LLDP na różnych platformach Nexus (3600, 9500-R, 9000 w trybie ACI i NX-OS). We wszystkich przypadkach są to luki podatne na wykorzystanie z sąsiedniej sieci, bez uwierzytelniania, co może powodować nieoczekiwane restarty, pętle ruchu warstwy 2 lub całkowite nasycenie przepustowości, skutkujące poważnymi przerwami w świadczeniu usług.
W podsumowaniu biuletynu wyraźnie zaznaczono, że nie ma ogólnych obejść tych luk; ograniczenie ryzyka polega na aktualizacji oprogramowania do poprawionych wersji w SD-WAN, Nexus i ACI. W niektórych przypadkach sugerowane są środki mające na celu redukcję powierzchni, takie jak segmentacja ruchu zarządzania, filtrowanie dostępu do zagrożonych portów (na przykład ograniczenie dostępu do portów 22 i 830 we wdrożeniach SD-WAN) oraz ścisłe monitorowanie logów ruchu peeringowego i sterującego.
Ogromne aktualizacje Cisco Secure Firewall, ASA i FMC
Oprócz luk w zabezpieczeniach tożsamości i sieci, Cisco wydało dużą aktualizację zabezpieczeń dla swojego ekosystemu zapór sieciowych , która obejmuje 48 luk wykrytych w Cisco Secure Firewall ASA, Secure Firewall Management Center (FMC) i Secure Firewall Threat Defense (FTD) . Dwie z tych luk otrzymały ocenę CVSS na poziomie 10.0, co plasuje je na najwyższym poziomie zagrożenia.
Najpoważniejsze luki znajdują się w Cisco Secure Firewall Management Center , komponencie centralizującym administrowanie politykami, konfiguracjami, wdrożeniami i monitorowaniem korporacyjnych zapór Cisco. W szczególności wyróżniają się dwie luki: CVE-2026-20079, związana z ominięciem uwierzytelniania, oraz CVE-2026-20131, skupiająca się na zdalnym wykonywaniu kodu.
Obie luki umożliwiają zdalnemu atakującemu dostęp do FMC bez ważnych danych uwierzytelniających i wykonanie kodu z uprawnieniami roota w systemie zarządzającym całą infrastrukturą zapory sieciowej. Takie zagrożenie oznacza, że atakujący mógłby modyfikować reguły, wyłączać inspekcje, przekierowywać ruch, a nawet usuwać dowody złośliwej aktywności, zwiększając ryzyko do najwyższego możliwego poziomu w środowisku perymetrycznym.
Biuletyn zawiera również liczne luki w zabezpieczeniach typu „odmowa usługi” (DDoS), które wpływają na funkcje zdalnego dostępu SSL VPN oraz serwer internetowy VPN w systemach ASA i FTD. Niektóre z nich mają ocenę CVSS na poziomie 8.6, co oznacza wysoki poziom zagrożenia, ponieważ mogą one uniemożliwić dostęp zdalny, który często ma kluczowe znaczenie dla telepracy i połączeń z osobami trzecimi.
W sumie Cisco opublikowało 25 ostrzeżeń dotyczących bezpieczeństwa, obejmujących 48 luk w zabezpieczeniach , z aktualizacjami dostępnymi dla różnych obsługiwanych gałęzi systemów ASA, FMC i FTD. Chociaż zespół Cisco PSIRT wskazuje, że w momencie publikacji nie było dowodów na aktywne wykorzystanie dwóch krytycznych luk w zabezpieczeniach FMC, ich zdalny, nieuwierzytelniony charakter oraz wpływ na scentralizowany system zarządzania sprawiają, że ich łatanie jest niezwykle pilne.
Podstawowym zaleceniem jest najpierw zaktualizowanie wszystkich wdrożeń za pomocą FMC jako konsoli zarządzania , planując rozłożone w czasie okna konserwacji, aby uniknąć pozostawienia sieci bez ochrony. Następnie zaleca się również zastosowanie poprawek do ASA i FTD, szczególnie na urządzeniach bezpośrednio podłączonych do internetu lub obsługujących użytkowników zdalnych.
Poprzednie newslettery: Cisco Enterprise NFV, Prime, Nexus Insights i ISE
Oprócz niedawnej fali poprawek, należy pamiętać, że Cisco gromadzi ostrzeżenia dotyczące bezpieczeństwa dla innych kluczowych komponentów swojego ekosystemu , z których wiele jest nadal obecnych w sieciach produkcyjnych. Jednym z przykładów jest biuletyn wymieniający kilka istotnych luk w zabezpieczeniach zidentyfikowanych przez zespoły ds. cyberbezpieczeństwa, takie jak Netglobalis.
W ostrzeżeniu wymieniono luki w zabezpieczeniach, takie jak CVE-2021-34746 , czyli lukę umożliwiającą ominięcie uwierzytelniania w oprogramowaniu infrastruktury Cisco Enterprise NFV, która może umożliwić atakującemu ominięcie kluczowych kontroli dostępu w środowiskach wirtualizacji funkcji sieciowych.
Na uwagę zasługuje również luka CVE-2021-34733 , umożliwiająca ujawnienie informacji w systemach Cisco Prime Infrastructure i Cisco Evolved Programmable Network Manager. W tym przypadku wykorzystanie luki mogłoby doprowadzić do ujawnienia danych konfiguracyjnych lub poufnych informacji sieciowych, co jest bardzo przydatne w przygotowaniu kolejnych, bardziej ukierunkowanych ataków.
W obszarze zarządzania współpracą CVE-2021-34732 odnosi się do luki w zabezpieczeniach umożliwiającej atak typu cross-site scripting (XSS) w procesie obsługi współpracy Cisco Prime, natomiast CVE-2021-34759 dotyczy Cisco Identity Services Engine, oferując kolejną lukę typu XSS, która może umożliwić wykonanie kodu w przeglądarce administratora za pośrednictwem złośliwej zawartości.
Na koniec wspomniano o CVE-2021-34765 , luce w zabezpieczeniach Cisco Nexus Insights umożliwiającej ujawnienie uwierzytelnionych informacji, która może ułatwić nieautoryzowany dostęp do wewnętrznych danych dotyczących wydajności i stanu sieci. Ponownie, jest to niezwykle cenna informacja dla atakującego, który chce przeprowadzić atak lateralny lub celowy sabotaż.
Wytyczne w takich przypadkach są jasne: należy zainstalować aktualizacje zalecane przez producenta za pośrednictwem oficjalnych kanałów , po ocenie wpływu na usługi krytyczne, i skoordynować wdrożenie z odpowiedzialnym personelem technicznym . Przed wdrożeniem w środowisku produkcyjnym zaleca się przetestowanie poprawek w środowiskach przedprodukcyjnych lub laboratoryjnych, zapoznanie się z informacjami o wydaniach i sprawdzenie zgodności z istniejącymi integracjami.
Strategie łagodzenia i wzmacniania zagrożeń w środowiskach Cisco
Biorąc pod uwagę liczbę i powagę ostatnio wykrytych luk, samo zainstalowanie poprawek i zapomnienie o nich nie wystarczy. Konieczne jest przyjęcie podejścia opartego na dogłębnej obronie i wzmocnienie zabezpieczeń na wszystkich warstwach infrastruktury Cisco, od zarządzania tożsamościami, przez płaszczyznę sterowania siecią, po zapory obwodowe.
Na przykład, we wdrożeniach Cisco Catalyst SD-WAN, Cisco zaleca ograniczenie ruchu do wrażliwych portów zarządzania (takich jak 22 i 830) tylko do znanych adresów IP kontrolerów, wyłączenie dostępu HTTP do portalu zarządzania oraz wymuszenie korzystania z protokołu HTTPS z zaktualizowanymi certyfikatami. Zmiana haseł administratorów na silniejsze, bardziej unikalne wersje oraz włączenie uwierzytelniania wieloskładnikowego, tam gdzie to możliwe, to kolejna niezbędna warstwa ochrony.
Kluczowym punktem jest ciągły przegląd logów aktywności i parowania urządzeń . Identyfikacja nieautoryzowanych połączeń peeringowych, nieudanych prób uwierzytelnienia z podejrzanych źródeł lub zwiększonego ruchu w interfejsach API zarządzania może dostarczyć wczesnych wskazówek, że ktoś próbuje wykorzystać jedną ze znanych luk w zabezpieczeniach.
W środowiskach Nexus i ACI, oprócz zainstalowania poprawionych wersji systemu NX-OS i oprogramowania sprzętowego, zaleca się ostrożną segmentację sieci VLAN służących do zarządzania , ograniczenie dostępu do protokołów SNMP i LLDP z dobrze kontrolowanych segmentów zarządzania oraz stosowanie list kontroli dostępu na warstwach 2 i 3 w celu ograniczenia zakresu sąsiednich ataków.
Organizacje, które w dużym stopniu polegają na Cisco ISE i innych platformach IAM, powinny przeanalizować kwestię narażenia interfejsów zarządzania za pośrednictwem sieci VPN, sieci Wi-Fi dla gości lub zdalnego dostępu stron trzecich . Wprowadzenie hostów bastionowych, segmentacja sieci zarządzania oraz ścisłe monitorowanie wywołań API i zmian konfiguracji znacząco zmniejszają prawdopodobieństwo cichego naruszenia bezpieczeństwa.
Przede wszystkim wskazane jest wdrożenie procedur okresowych audytów, skanowania podatności i przeglądów konfiguracji w oparciu o oficjalne wytyczne, takie jak Cisco Catalyst SD-WAN Hardening Guide lub najlepsze praktyki bezpieczeństwa Cisco dla środowisk zapór sieciowych i przełączników. Uzupełnienie tych przeglądów o ciągłe szkolenia personelu technicznego i wykorzystanie rozwiązań monitorujących opartych na sztucznej inteligencji pomaga wykryć nietypowe wzorce, zanim incydent przerodzi się w poważne naruszenie bezpieczeństwa.
Znaczenie ciągłego cyklu aktualizacji i globalnej wizji bezpieczeństwa
Cały ten kontekst ostrzeżeń i poprawek jasno pokazuje, że sieci przedsiębiorstw podlegają ciągłym zmianom , a powierzchnia ataku rozszerza się wraz z każdą nową włączoną funkcją. Cisco, jako jeden z głównych graczy w tym sektorze, odpowiada na to, oferując coraz bardziej kompleksowe pakiety aktualizacji, a obowiązkiem organizacji jest ich integracja z planem utrzymania bez zakłócania działalności biznesowej.
Luki w zabezpieczeniach sprzętu sieciowego to nie tylko problem techniczny; wpływają one również na zaufanie klientów, partnerów i organów regulacyjnych . Nieskorygowana krytyczna wada w zaporze sieciowej, kontrolerze SD-WAN lub systemie zarządzania tożsamością może prowadzić do kradzieży danych, przerw w świadczeniu usług lub incydentów skutkujących karami regulacyjnymi i trudną do zmierzenia szkodą dla reputacji.
Dlatego wiele firm decyduje się na współpracę z dostawcami specjalizującymi się w tworzeniu niestandardowych rozwiązań z wbudowanym cyberbezpieczeństwem . Takie podejście pozwala im integrować usługi chmurowe, takie jak AWS czy Azure, bez utraty z oczu wymogów bezpieczeństwa, a migracje wiążą się z koniecznością przeprojektowania zasad dostępu, monitorowania i reagowania na incydenty.
Ostatecznie, najbardziej realistycznym sposobem ochrony infrastruktury sieciowej jest połączenie szybkich aktualizacji, wzmacniania konfiguracji, inteligentnej segmentacji, zaawansowanego monitorowania i ciągłego szkolenia zespołu. Krytyczne aktualizacje Cisco przypominają, że każdy element sieci – niezależnie od tego, jak solidny się wydaje – może stać się punktem wejścia poważnego incydentu, jeśli nie będzie aktualizowany i zintegrowany z kompleksową strategią bezpieczeństwa.
