- Përditësimet më të fundit të Cisco-s rregullojnë dobësitë kritike në ISE, SD-WAN, Nexus, ACI dhe firewall-et që mundësojnë RCE, përshkallëzimin e privilegjeve dhe DoS.
- Disa gabime me CVSS 10.0 ndikojnë në sistemet e menaxhimit të centralizuar (ISE, FMC, SD-WAN Manager), kështu që përparësia është të aplikohen patch-e zyrtare pa u mbështetur në zgjidhje alternative.
- Cisco rekomandon forcimin e segmentimit, kontrollit të porteve, rishikimit të regjistrave dhe forcimin e API-ve dhe shërbimeve të menaxhimit si plotësues thelbësorë të patch-imit.
- Menaxhimi i vazhdueshëm i përditësimeve, së bashku me monitorimin e avancuar dhe proceset e pjekura të sigurisë, është jetik për të zvogëluar rrezikun në rrjetet e ndërmarrjeve me bazë Cisco.
Përditësimet kritike të Cisco-s janë bërë një komponent kyç i strategjisë së sigurisë kibernetike për çdo kompani që mbështetet në infrastrukturën e saj të rrjetit për operacionet e përditshme. Në muajt e fundit, është lëshuar një sërë këshillash sigurie që ndikojnë në zgjidhje të ndjeshme, të tilla si sistemet e menaxhimit të identitetit, platformat SD-WAN, çelsat kryesorë dhe firewall-et perimetrale, duke i detyruar ekipet teknike të monitorojnë nga afër patch-et e disponueshme.
Kur shfaqen dobësi me rezultate CVSS prej 10.0 ose më të larta , po flasim për të meta që mund të japin akses të paautorizuar në distancë, të ekzekutojnë kod me privilegje rrënjë ose të ndërpresin shërbimet kritike të rrjetit me një paketë të vetme dashakeqe. Shtojini kësaj faktin se disa nga këto probleme tashmë po shfrytëzohen në mënyrë aktive dhe përfundimi është i qartë: kushdo që ka pajisje Cisco në prodhim duhet të veprojë shpejt, të planifikojë siç duhet dritaret e mirëmbajtjes dhe të forcojë kontrollet rreth këtyre platformave.
Dobësi kritike në Cisco Identity Services Engine (ISE) dhe menaxhimin e identitetit
Cisco ka publikuar patch-e për tre dobësi të paautorizuara të ekzekutimit të kodit në distancë në Identity Services Engine (ISE) dhe ISE Passive Identity Connector (ISE-PIC). Të tre kanë një rezultat CVSS prej 10.0, niveli më i lartë i ashpërsisë, pasi lejojnë një sulmues në distancë të fitojë privilegje rrënjë në sisteme kritike për të kontrolluar se kush hyn dhe çfarë mund të bëjë brenda rrjetit të korporatës.
Dobësitë e shpallura korrespondojnë me CVE-2025-20281, CVE-2025-20282 dhe CVE-2025-20337 , të gjitha të lidhura me validimin e pamjaftueshëm të të dhënave hyrëse të përpunuara nga API të caktuara të brendshme. Në praktikë, një kriminel kibernetik mund të dërgojë kërkesa të manipuluara për të ngarkuar skedarë keqdashës në shtigje të privilegjuara ose të detyrojë ekzekutimin e komandave arbitrare me privilegjet më të larta të disponueshme të sistemit.
Lidhur me fushëveprimin, versionet ISE dhe ISE-PIC 3.3 (deri në Patch 6) dhe 3.4 (deri në Patch 1) janë të prekura . Është interesante se degët 3.2 dhe më të hershme nuk preken nga këto dobësi specifike, kështu që rreziku është i përqendruar në implementimet relativisht të fundit, të cilat zakonisht janë ato në prodhim në mjedise kërkuese.
Problemi me këto lloje dobësish është se nuk ka zgjidhje të përkohshme efektive : nuk ka konfigurim të mrekullueshëm apo zgjidhje të qëndrueshme për të fituar kohë. Vetë Cisco e bën të qartë se e vetmja metodë realiste e zbutjes është instalimi i patch-eve zyrtare, të cilat kërkojnë një orar të shpejtë përditësimi për të gjitha nyjet ISE të prekura.
Rregullimet janë të disponueshme në ISE/ISE-PIC 3.4 Patch 2 dhe ISE/ISE-PIC 3.3 Patch 7. Edhe pse rregullime të caktuara janë aplikuar në disa mjedise (siç janë paketa si ise-apply-CSCwo99449_3.3.0.430_patch4-SPA.tar.gz), Cisco ende rekomandon përmirësimin në këto rregullime zyrtare, pasi rregullimet e mëparshme ad-hoc nuk mbulojnë CVE-2025-20337 dhe nuk garantojnë një rregullim të plotë për grupin e dobësive.
Përveç patch-eve, është thelbësore të forcohet ekspozimi i ndërfaqeve administrative dhe API-ve të ISE-së . Kufizimi i aksesit në rrjetet e besueshme të menaxhimit, mbrojtja me ACL dhe firewall-e të aplikacioneve, rishikimi i regjistrave të autentifikimit dhe veprimeve administrative, si dhe vendosja e sistemeve të monitorimit të sjelljes ndihmojnë në zbulimin e përpjekjeve të shfrytëzimit përpara se sulmuesi të mund të përshkallëzojë situatën.
Katër dobësi kritike në platformat e menaxhimit të identitetit Cisco
Lidhur me të njëjtën fushë të identitetit dhe aksesit, Cisco ka identifikuar katër dobësi të tjera të nivelit kritik në komponentët kryesorë të Cisco Identity Services Engine (ISE) dhe Cisco Secure Access Cloud. Këto zgjidhje formojnë themelin e autentifikimit dhe autorizimit në shumë rrjete ndërmarrjesh, kështu që çdo dështim këtu ka një ndikim të drejtpërdrejtë në integritetin, konfidencialitetin dhe disponueshmërinë e infrastrukturës.
Ndër dobësitë e zbuluara janë mundësi të ndryshme për ekzekutimin e kodit në distancë dhe të meta në validimin e të dhënave hyrëse që i lejojnë një sulmuesi të paprivilegjuar të përshkallëzojë lejet, të ndryshojë proceset e brendshme ose të kompromentojë plotësisht sistemet e prekura. Nëse sulmi është i suksesshëm, rezultati mund të shkojë nga qasja e paautorizuar në informacione të ndjeshme deri te ndërprerja e shërbimeve të autentifikimit, duke bllokuar aksesin legjitim të përdoruesit.
Nga pikëpamja teknike, një lloj dobësie mbështetet në gabimet në validimin e të dhënave të marra nga API-të ose shërbimet e brendshme . Nëpërmjet kërkesave të hartuara me kujdes, është e mundur të ekzekutohen komanda arbitrare, të anashkalohen mekanizmat e vërtetimit ose të shkruhen në vende të sistemit që duhet të jenë të sigurta, me pasoja potencialisht katastrofike në mjediset e prodhimit.
Ndikimi në disponueshmëri është gjithashtu i rëndësishëm: meqenëse këto produkte centralizojnë menaxhimin e aksesit , çdo degradim ose ndërprerje që rezulton nga një sulm mund të përkthehet në një mohim të përhapur të shërbimit për VPN-të, Wi-Fi-në e korporatave , aksesin me kabllo me 802-1X ose integrimet me drejtoritë e përdoruesve.
Për të adresuar këto dobësi, Cisco ka publikuar përditësime specifike të softuerit për versionet e prekura të ISE dhe Secure Access Cloud . Ekipet e sigurisë këshillohen që t'i japin përparësi këtyre përditësimeve brenda planit të tyre të mirëmbajtjes, veçanërisht në mjediset që mbështeten shumë në shërbimet e autentifikimit të centralizuar dhe aksesit me kusht.
Ndërsa cikli i patch-eve është në proces e sipër, këshillohet të forcohet monitorimi i regjistrave, alarmet e korrelacionit dhe sistemet e zbulimit të ndërhyrjeve rreth këtyre platformave. Rishikimi i modeleve të pazakonta të vërtetimit, rritjeve të gabimeve të API-t dhe sjelljes anormale në nyjet ISE mund të ndihmojë në identifikimin e përpjekjeve të shfrytëzimit edhe para se sulmuesi të ketë arritur kompromentimin e plotë.
Dështime kritike në Cisco Catalyst SD-WAN, Nexus dhe ACI
Përtej sigurisë së identitetit, Cisco ka publikuar një suitë gjithëpërfshirëse këshillash sigurie që ndikojnë në mjediset Cisco Catalyst SD-WAN dhe disa familje switch-esh Cisco Nexus dhe ACI . Raporti teknik detajon problemet me autentifikimin, përshkallëzimin e privilegjeve, ekspozimin ndaj informacionit dhe skenarë të shumtë të mohimit të shërbimit me shtrirje të largët ose të afërt.
Ndër rastet më serioze janë CVE-2026-20127 dhe CVE-2026-20129 , të dyja të lidhura me autentifikimin në Cisco Catalyst SD-WAN Controller dhe Cisco Catalyst SD-WAN Manager. I pari, me një rezultat CVSS prej 10.0, lejon një sulmues të paautorizuar në distancë të anashkalojë procesin e peering dhe të fitojë drejtpërdrejt privilegje administrative në sistemin e prekur, duke i dhënë atyre kontroll të plotë mbi konfigurimin SD-WAN.
Në rastin e CVE-2026-20129 , dobësia ndikon në vërtetimin e përdoruesit në API-në e Cisco Catalyst SD-WAN Manager, gjithashtu me një vektor të largët të paautorizuar dhe një rezultat CVSS prej 9.8. Duke përdorur një kërkesë të hartuar posaçërisht, një sulmues mund të fitojë akses me privilegje netadmin dhe të ekzekutojë komanda me këtë nivel lejesh. Cisco tregon se versionet 20.18 dhe më të reja të SD-WAN Manager nuk preken nga kjo e metë specifike.
Janë dokumentuar gjithashtu dobësi lokale të përshkallëzimit, të tilla si CVE-2026-20126 dhe CVE-2026-20128 . Këto i lejojnë një përdoruesi me leje të kufizuara në SD-WAN Manager të fitojë privilegje root ose DCA. Në të dyja rastet, shfrytëzimi mbështetet në abuzimin e API-ve të brendshme (API-të REST ose funksionet e Agjentit të Mbledhjes së të Dhënave) dhe kërkon kredenciale të vlefshme, por ndikimi i mundshëm përfshin marrjen e plotë të sistemit ose qasjen në nyje të tjera brenda mjedisit SD-WAN.
Raporti përfshin referenca për të metat e mëparshme në Cisco SD-WAN CLI ( CVE-2022-20775 dhe CVE-2022-20818 ), të cilat tashmë janë shfrytëzuar në praktikë dhe lejojnë që komandat arbitrare të ekzekutohen si root nga një akses lokal i autentifikuar. Edhe pse këto dobësi kanë një rezultat pak më të ulët CVSS (7.8), ato mbeten shumë të rrezikshme në mjedise ku operatorë të shumtë ndajnë aksesin në linjën e komandës.
Nga ana e switch-it të qendrës së të dhënave, këshillat tregojnë për probleme të tilla si CVE-2026-20048 , një dobësi në trajtimin e SNMP në switch-et Cisco Nexus 9000 Series në modalitetin ACI. Një sulmues i largët i autentifikuar, me qasje në një varg komuniteti vetëm për lexim në SNMPv1/v2c ose kredenciale të vlefshme SNMPv3, mund të shkaktojë një mohim shërbimi duke shkaktuar një defekt të kernelit që detyron një rinisje të pajisjes.
Dobësi të tjera, të tilla si CVE-2026-20033, CVE-2026-20051 dhe CVE-2026-20010 , ndikojnë në Shtresën 2 dhe shërbime si LLDP në platforma të ndryshme Nexus (3600, 9500-R, 9000 në modalitetin ACI dhe NX-OS). Në të gjitha rastet, këto janë dobësi të shfrytëzueshme nga rrjeti ngjitur, pa autentifikim, të cilat mund të shkaktojnë rinisje të papritura, sythe trafiku të Shtresës 2 ose ngopje totale të bandwidth-it, duke rezultuar në ndërprerje të rënda të shërbimit.
Përmbledhja e buletinit e bën të qartë se nuk ka zgjidhje të përgjithshme për këto dobësi; zbutja përfshin përditësimin në versionet e softuerit të patched në SD-WAN, Nexus dhe ACI. Në disa raste, sugjerohen masa për reduktimin e sipërfaqes, të tilla si segmentimi i trafikut të menaxhimit, filtrimi i aksesit në portet e prekura (për shembull, kufizimi i aksesit në portet 22 dhe 830 në vendosjet SD-WAN) dhe monitorimi nga afër i regjistrave të trafikut të peering dhe kontrollit.
Përditësime masive për Cisco Secure Firewall, ASA dhe FMC
Krahas dobësive të identitetit dhe rrjetit, Cisco ka publikuar një përditësim të madh sigurie për ekosistemin e saj të firewall-it , i cili përfshin 48 dobësi të zbuluara në Cisco Secure Firewall ASA, Secure Firewall Management Center (FMC) dhe Secure Firewall Threat Defense (FTD) . Dy nga këto të meta morën një rezultat CVSS prej 10.0, duke i vendosur ato në nivelin më të lartë të ashpërsisë.
Dobësitë më kritike ndodhen në Qendrën e Menaxhimit të Firewall-it të Sigurt të Cisco-s , komponenti që centralizon administrimin e politikave, konfigurimeve, vendosjeve dhe monitorimit të firewall-eve të korporatave të Cisco-s. Në mënyrë specifike, dallohen dy të meta: CVE-2026-20079, që lidhet me një anashkalim të vërtetimit, dhe CVE-2026-20131, që përqendrohet në ekzekutimin e kodit në distancë.
Të dyja dobësitë i lejojnë një sulmuesi në distancë të hyjë në FMC pa kredenciale të vlefshme dhe të ekzekutojë kodin me privilegje rrënjë në sistemin që menaxhon të gjithë infrastrukturën e firewall-it. Një kompromis i tillë do të thotë që sulmuesi mund të modifikojë rregullat, të çaktivizojë inspektimet, të ridrejtojë trafikun ose edhe të fshijë provat e aktivitetit keqdashës, duke e rritur rrezikun në nivelin më të lartë të mundshëm brenda një mjedisi perimetral.
Buletini përfshin gjithashtu dobësi të shumta të mohimit të shërbimit që ndikojnë në funksionet e SSL VPN me Qasje në Distancë dhe serverin web VPN në ASA dhe FTD. Disa prej këtyre kanë rezultate CVSS prej 8.6, të klasifikuara si me ashpërsi të lartë, pasi ato mund të ndërpresin shërbimet e qasjes në distancë që shpesh janë kritike për punën në distancë dhe lidhjet me palë të treta.
Në total, Cisco detajon 25 këshilla sigurie që përfshijnë 48 dobësi , me përditësime të disponueshme për degët e ndryshme të mbështetura të ASA, FMC dhe FTD. Edhe pse Cisco PSIRT tregon se, në kohën e publikimit, nuk kishte prova të shfrytëzimit aktiv të dy dobësive kritike të FMC, natyra e tyre e largët dhe e paautorizuar dhe ndikimi i tyre në një sistem menaxhimi të centralizuar e bëjnë riparimin jashtëzakonisht urgjent.
Rekomandimi kryesor është që së pari të përditësohen të gjitha instalimet duke përdorur FMC si konsolën e tyre të menaxhimit , duke planifikuar dritare mirëmbajtjeje të shkallëzuara për të shmangur lënien e rrjetit të pambrojtur. Më pas, këshillohet gjithashtu të aplikohen patch-e në ASA dhe FTD, veçanërisht në pajisjet e ekspozuara drejtpërdrejt në internet ose që u shërbejnë përdoruesve në distancë.
Buletinet e mëparshme: Cisco Enterprise NFV, Prime, Nexus Insights dhe ISE
Përveç valës së fundit të përditësimeve, është e rëndësishme të mbahet mend se Cisco ka grumbulluar këshilla sigurie për komponentë të tjerë kyç të ekosistemit të saj , shumë prej të cilave janë ende të pranishme në rrjetet e prodhimit. Një shembull është një buletin që liston disa dobësi relevante të identifikuara nga ekipet e sigurisë kibernetike si Netglobalis.
Këshilla liston dobësi të tilla si CVE-2021-34746 , një dobësi e anashkalimit të autentifikimit në softuerin e infrastrukturës Cisco Enterprise NFV, e cila mund t'i lejojë një sulmuesi të anashkalojë kontrollet kritike të aksesit në mjediset e virtualizimit të funksioneve të rrjetit.
Gjithashtu, ia vlen të përmendet CVE-2021-34733 , një dobësi e zbulimit të informacionit në Cisco Prime Infrastructure dhe Cisco Evolved Programmable Network Manager. Në këtë rast, shfrytëzimi mund të ekspozojë të dhëna konfigurimi ose informacione të ndjeshme të rrjetit, gjë që është shumë e dobishme për përgatitjen e sulmeve të mëvonshme, më të synuara.
Në fushën e menaxhimit të bashkëpunimit, CVE-2021-34732 i referohet një dobësie të skriptimit ndër-site (XSS) në procesin e ofrimit të bashkëpunimit Cisco Prime, ndërsa CVE-2021-34759 ndikon në Cisco Identity Services Engine me një tjetër XSS që mund të lejojë ekzekutimin e kodit në shfletuesin e një administratori përmes përmbajtjes dashakeqe.
Së fundmi, përmendet CVE-2021-34765 , një dobësi e zbulimit të informacionit të autentifikuar në Cisco Nexus Insights, e cila mund të lehtësojë aksesin e paautorizuar në të dhënat e brendshme në lidhje me performancën dhe shëndetin e rrjetit. Përsëri, ky është një informacion shumë i vlefshëm për një sulmues që kërkon të sulmojë në mënyrë anësore ose të kryejë sabotim të synuar.
Udhëzimi në këto raste është i qartë: instaloni përditësimet e rekomanduara nga prodhuesi përmes kanaleve të tyre zyrtare , pasi të vlerësoni ndikimin në shërbimet kritike, dhe koordinoni vendosjen me stafin teknik përgjegjës . Përpara vendosjes në prodhim, këshillohet të testoni patch-et në mjedise para-prodhimi ose laboratorike, të rishikoni shënimet e lëshimit dhe të validoni përputhshmërinë me integrimet ekzistuese.
Strategjitë e zbutjes dhe forcimit në mjediset Cisco
Duke pasur parasysh numrin dhe ashpërsinë e dobësive të fundit, thjesht instalimi i patch-eve dhe harrimi i tyre nuk është i mjaftueshëm. Është thelbësore të miratohet një qasje e thellë mbrojtëse dhe forcimi në të gjitha shtresat e infrastrukturës Cisco, nga menaxhimi i identitetit deri te plani i kontrollit të rrjetit dhe muret e zjarrit të perimetrit.
Në instalimet Cisco Catalyst SD-WAN, për shembull, Cisco rekomandon kufizimin e trafikut në portat e ndjeshme të menaxhimit (siç janë 22 dhe 830) vetëm në adresat IP të kontrolluesit të njohur, çaktivizimin e aksesit HTTP në portalin e menaxhimit dhe zbatimin e përdorimit të HTTPS me certifikata të përditësuara. Ndryshimi i fjalëkalimeve të administratorit në versione më të forta dhe më unike dhe aktivizimi i vërtetimit shumëfaktorësh aty ku është e mundur është një shtresë tjetër thelbësore mbrojtjeje.
Një pikë kyçe është shqyrtimi i vazhdueshëm i regjistrave të aktivitetit dhe regjistrave të çiftëzimit të pajisjeve . Identifikimi i lidhjeve të paautorizuara të peering, përpjekjeve të dështuara të vërtetimit nga burime të dyshimta ose trafikut të rritur në API-të e menaxhimit mund të ofrojë të dhëna të hershme se dikush po përpiqet të shfrytëzojë një nga dobësitë e njohura.
Në mjediset Nexus dhe ACI, përveç instalimit të versioneve të korrigjuara të NX-OS dhe firmware-it, rekomandohet që të segmentohen me kujdes VLAN-et e menaxhimit , të kufizohet qasja në SNMP dhe LLDP nga segmentet e menaxhimit të kontrolluara mirë dhe të aplikohen listat e kontrollit të qasjes në shtresat 2 dhe 3 për të kufizuar fushëveprimin e sulmeve ngjitur.
Organizatat që mbështeten shumë në Cisco ISE dhe platforma të tjera IAM duhet të rishikojnë ekspozimin e ndërfaqeve të menaxhimit përmes VPN-ve, rrjeteve Wi-Fi për mysafirë ose aksesit në distancë të palëve të treta . Prezantimi i hosteve bastion, segmentimi i rrjetit të menaxhimit dhe monitorimi nga afër i thirrjeve API dhe ndryshimeve të konfigurimit zvogëlon ndjeshëm mundësinë e një kompromisi të heshtur.
Mbi të gjitha, këshillohet që të institucionalizohen proceset për auditime periodike, skanime të dobësive dhe rishikime të konfigurimit bazuar në udhëzues zyrtarë si Cisco Catalyst SD-WAN Hardening Guide ose praktikat më të mira të sigurisë të Cisco-s për firewall-et dhe mjediset e switch-eve. Plotësimi i këtyre rishikimeve me trajnime të vazhdueshme për stafin teknik dhe përdorimin e zgjidhjeve të monitorimit të mundësuara nga IA ndihmon në zbulimin e modeleve të pazakonta përpara se një incident të përshkallëzohet në një shkelje serioze.
Rëndësia e një cikli të vazhdueshëm përditësimi dhe një vizioni global për sigurinë
I gjithë ky kontekst paralajmërimesh dhe përditësimesh e bën të qartë se rrjetet e ndërmarrjeve janë në një gjendje të vazhdueshme ndryshimi dhe se sipërfaqja e sulmit zgjerohet me çdo veçori të re të aktivizuar. Cisco, si një nga lojtarët kryesorë në sektor, përgjigjet me paketa përditësimi gjithnjë e më gjithëpërfshirëse, dhe është përgjegjësi e organizatave t'i integrojnë ato në planin e tyre të mirëmbajtjes pa ndërprerë operacionet e biznesit.
Dobësitë në pajisjet e rrjetit nuk janë vetëm një problem teknik; ato ndikojnë gjithashtu në besimin e klientëve, partnerëve dhe rregullatorëve . Një defekt kritik i pakorrigjuar në një firewall perimetri, një kontrollues SD-WAN ose një sistem menaxhimi identiteti mund të çojë në vjedhje të dhënash, ndërprerje të shërbimit ose incidente që rezultojnë në penalitete rregullatore dhe dëmtim të reputacionit që është i vështirë për t'u matur.
Prandaj, shumë kompani po zgjedhin të punojnë me ofrues të specializuar në zhvillimin e zgjidhjeve të personalizuara me sigurinë kibernetike të integruar që në fillim . Kjo qasje u lejon atyre të integrojnë shërbime cloud si AWS ose Azure pa humbur nga sytë kërkesat e sigurisë, duke shoqëruar migrimet me një ridizajnim të politikave të aksesit, monitorimit dhe reagimit ndaj incidenteve.
Në fund të fundit, mënyra më realiste për të mbrojtur infrastrukturën e rrjetit përfshin kombinimin e përditësimeve të shpejta, forcimin e konfigurimit, segmentimin inteligjent, monitorimin e avancuar dhe trajnimin e vazhdueshëm të ekipit. Përditësimet kritike të Cisco-s shërbejnë si një kujtesë se çdo komponent rrjeti - pavarësisht se sa i fuqishëm mund të duket - mund të bëhet pika hyrëse për një incident serioz nëse nuk mbahet i përditësuar dhe i integruar në një strategji gjithëpërfshirëse sigurie.
