Cisco Alert Vier kritische Schwachstellen in ISE und Webex Services, die Remote-Code Ausführung Identität supplanting und Knoten Drop Update Patchs jetzt ermöglichen

Cisco hat Korrekturen für vier kritische Schwachstellen veröffentlicht, die seine Identity Services (ISE) Dienste und Webex Services bezogene Funktionen beeinflussen. Diese Fehler erlauben möglicherweise von der Remote-Code-Ausführung, bis ein Angreifer jeden Benutzer innerhalb des Dienstes durchläuft, mit Konsequenzen von Verlust der Integrität in einer Sitzung bis zur vollständigen Systemsteuerung Einnahme oder Generierung von Service-Denials.

Das Risiko ist hoch und konkret: eine der Schwachstellen (gemäß CVE-2026-20184) ist mit der falschen Validierung von Zertifikaten in der Integration von SSO mit Hub Control in Webex Services verbunden, die es einem nicht authentifizierten Angreifer ermöglichen könnten, Identitäten innerhalb des Dienstes zu pflanzen. Drei weitere (CVE-2026-20147, CVE-2026-20180 und CVE-2026-20186) sind Eingangsvalidierungsfehler in Cisco ISE und der Passive Identity Connector (ISE-PIC)-Komponente, die in verschiedenen Privilegszenarien von der Remote-Code-Ausführung bis zur Ausführung von Befehlen in dem zugrunde liegenden Betriebssystem und der Post-root-Elevation erlauben.

Nach Ciscos Sicherheitshinweis könnte eine erfolgreiche Ausbeutung von ISE-Schwachstellen sogar dazu führen, dass ein Knoten in Single-Knoten-Einsätzen nicht zur Verfügung steht, wodurch ein Zustand des Denials des Dienstes, in dem Geräte, die zuvor nicht authentifiziert haben, nicht auf das Netzwerk zugreifen konnte, bis der Knoten wiederhergestellt ist. Cisco weist darauf hin, dass es im Moment keinen Hinweis auf eine aktive Ausbeutung dieser Ausfälle hat, aber dringend empfiehlt, dass veröffentlichte Updates so schnell wie möglich umgesetzt werden. Das offizielle Kommuniqué und die Empfehlungen von Cisco sind im Sicherheitszentrum verfügbar: Cisco Sicherheitsberater.

In Bezug auf spezifische Aktionen wird die Schwachstelle CVE-2026-20184 aus der Cloud verwaltet und erfordert keine Kunden, um einen Software-Patch anzuwenden; Cisco empfiehlt jedoch Organisationen, die SSO nutzen, um ein neues SAML-Zertifikat von ihrem Identitätsanbieter (IDP) in Hub Control zu laden, um den Benutzer supplanting Vektor zu mindern. Bei Problemen, die ISE und ISE-PIC betreffen, hat Cisco Korrekturen in bestimmten Versionen veröffentlicht: CVE-2026-20147 wird in Versionen wie ISE 3.1 (mit 3.1 Patch 11), 3.2 (Patch 10), 3.3 (Patch 11), 3.4 (Patch 6) und 3.5 (Patch 3) gelöst; Schwachstellen CVE-2026-20180 und CVE-2026-20186 werden in ISE 3.2 (Patch 8), 3.3 (Patch 8), 3.4 (Patch 4) korrigiert und beeinträchtigen 3.5 nicht. Wenn eine Version vor den genannten verwendet wird, empfiehlt Cisco, so bald wie möglich auf eine korrigierte Version zu migrieren. Die Produkt-Support-Seite steht zum Herunterladen von Informationen und Updates Anleitungen für ISE zur Verfügung: Cisco Identity Services Engine - Unterstützung.

Neben der Installation von Patches ist es angebracht, ergänzende Minderungsmaßnahmen zu treffen: Aufzeichnungen und Telemetrie auf der Suche nach anormalen Verhaltensweisen, die Ausbeutungsversuche entsprechen, administrativen Zugriff zu beschränken und Konten mit Privilegien zu prüfen, Backup vor der Anwendung von Updates zu erstellen und Patches in Vorproduktionsumgebungen zu testen, wo es möglich ist, unerwartete Auswirkungen zu vermeiden. Es wird auch empfohlen, die SAML-Zertifikate zu erneuern und die SSO-Konfiguration zu validieren, um das Risiko der Supplantierung zu minimieren, wobei es sich um ein Referenzgut auf SAML und Identitätskontrolle handelt. Ressourcen für die gute Praxis im Identitätsmanagement und bei der Einreisevalidierung sind vom NIST und der OWASP-Gemeinschaft verfügbar: NVD (NIST) und OWASP - Validierung von Einträgen.

Aus betrieblicher Sicht sollten Sicherheitsteams die dem Internet und den Knoten in der einzelnen Knotentopologie ausgesetzten Instanzen priorisieren, da in diesen Umgebungen die Operation einen unmittelbaren operativen Einfluss auf den Netzzugang haben könnte. Wenn Zweifel daran bestehen, ob eine Anlage betroffen ist, ist es angebracht, die technischen Hinweise von Cisco zu konsultieren und gegebenenfalls einen Fall mit Unterstützung zu öffnen, um konkrete Hinweise auf die vorübergehende Aktualisierung oder Minderung zu erhalten.

Die üblichen Dynamiken in diesen Szenarien sind klar: Auch wenn es derzeit keinen öffentlichen Beweis für die Ausbeutung gibt, stellen die Fehler mit Fern- und Supplantationskapazität ein zu großes Risikofenster dar, um die Korrekturen zu verschieben. Aktualisierungssysteme, Validierung von SSO-Konfigurationen und Audit-Verwaltungskonten sollte an der Spitze der Aufgabenliste eines Sicherheits- oder Netzwerkmanagement-Beauftragten mit Cisco ISE oder Webex Services sein.

Schließlich wird die Aufrechterhaltung des Asset Inventars auf dem neuesten Stand und die Erstellung von Antwortprozessen, die Erkennung, Eindämmung und Erholung beinhalten, dazu beitragen, die Auswirkungen zu reduzieren, wenn eine Organisation einen Versuch der Intrusion erkennt. Um öffentliche Ausschreibungen und offizielle CVE-Einträge aufrechtzuerhalten, können Sie die NIST-Verwundbarkeitsdatenbank und die eigenen Nachrichten von Cisco PSIRT auf ihrem Sicherheitsportal verfolgen.