思科发布紧急安全公告，警告其身份服务引擎 (ISE) 和 ISE 被动身份连接器 (ISE-PIC) 存在多个漏洞。
根据思科于 2026 年 4 月 15 日发布的官方安全公告，这些漏洞可能允许经过身份验证的远程攻击者在受影响的设备上执行任意命令 。
它们还可能引发路径穿越攻击，这是企业网络基础设施中反复出现且至关重要的威胁途径。
Cisco ISE RCE 漏洞
该公告指出，这是两个独立的漏洞，受其中一个漏洞影响的设备可能不会受到另一个漏洞的影响，而且利用其中一个漏洞也不需要利用另一个漏洞。
最严重的缺陷 CVE-2026-20147 (CVSS 9.9) 是一个严重的远程代码执行 (RCE) 漏洞，原因是对用户提供的输入验证不足 。
拥有有效管理员凭据的攻击者可以通过向目标设备发送特制的 HTTP 请求来利用此漏洞。
攻击成功后，攻击者将获得对底层操作系统的用户级访问权限，从而可以将权限提升至 root。
在单节点 ISE 部署中，利用此漏洞可能导致节点崩溃， 从而引发拒绝服务 (DoS) 情况 。
未经身份验证的终端无法访问网络，直到管理员完全恢复系统为止。
第二个缺陷，CVE-2026-20148（CVSS 4.9），是一个 路径遍历漏洞需要有效的管理员凭据，并且是由不正确的输入验证引起的。
通过发送精心构造的 HTTP 请求，攻击者可以执行路径遍历攻击，直接从底层操作系统访问和读取敏感的任意文件。
思科确认目前没有可行的解决方法，并敦促管理员立即升级到已打补丁的版本。
以下概述了所需的安全更新，并遵循系统管理员的标准漏洞报告结构：
- 版本低于 3.1：迁移到受支持的、已修复的版本。
- 版本 3.1：升级到 3.1 补丁 11。
- 版本 3.2：升级到 3.2 补丁 10。
- 版本 3.3：升级到 3.3 补丁 11。
- 版本 3.4：升级到 3.4 补丁 6。
- 版本 3.5：升级到 3.5 补丁 3。
管理员应注意，Cisco ISE-PIC 版本 3.4 是最后一个受支持的版本，因为该产品已正式停止销售。
这些漏洞是由 TrendAI Research 的安全研究员 Jonathan Lein 发现并报告给思科的。
在发布该安全公告时 ，思科产品安全事件响应团队 (PSIRT) 表示，他们尚未发现任何公开声明或恶意利用这些漏洞的案例。
