シスコ、Identity Service Engineの脆弱性を悪用コードで警告

Cisco は、Identity Services Engine (ISE) ネットワークアクセス制御ソリューションに、管理者権限を持つ攻撃者に悪用される可能性のある脆弱性のパッチを適用し、概念実証済みのエクスプロイトコードを公開した。

企業の管理者は、Cisco ISE を使用して、ネットワークリソースへのエンドポイント、ユーザー、およびデバイスのアクセスを管理し、ゼロトラストアーキテクチャを実施しています。

このセキュリティ上の欠陥（CVE-2026-20029）は、デバイスの構成に関係なく、Cisco Identity Services Engine（ISE）およびCisco ISE Passive Identity Connector（ISE-PIC）に影響し、高い権限を持つリモートの攻撃者は、この欠陥を悪用して、パッチが適用されていないデバイス上の機密情報にアクセスすることができます。

「この脆弱性は、Cisco ISE および Cisco ISE-PIC の Web ベースの管理インターフェイスで処理される XML の不適切な解析に起因します。攻撃者は、アプリケーションに悪意のあるファイルをアップロードすることで、この脆弱性を悪用することができます。

「攻撃者は、悪意のあるファイルをアプリケーションにアップロードすることで、この脆弱性を悪用することができます。この脆弱性を悪用するには、攻撃者が有効な管理者認証情報を持っている必要があります。

Cisco Product Security Incident Response Team (PSIRT)は、積極的な悪用の証拠は見つからなかったものの、概念実証(PoC)の悪用がオンラインで利用可能であることを警告した。

シスコは、「回避策および緩和策（該当する場合）は一時的な解決策である」と考え、「将来の暴露を回避」し、この脆弱性に完全に対処するために、「顧客に修正済みソフトウェアへのアップグレードを強く推奨する」と述べている。

シスコは水曜日、認証されていないリモートの攻撃者が Snort 3 検出エンジンを再起動し、サービス拒否を引き起こしたり、Snort のデータストリーム内の機密情報を取得したりできる複数の IOS XE 脆弱性にも対処した。しかし、Cisco PSIRTは、一般に公開されている悪用コードを発見しておらず、また、脅威行為者がこれらの脆弱性を悪用している兆候もないとしています。

11月、アマゾンの脅威インテリジェンスチームは、ハッカーが最大強度のCisco ISEゼロデイ（CVE-2025-20337）を悪用してカスタムマルウェアを展開していると警告した。Ciscoは7月にパッチを適用した際、CVE-2025-20337を悪用することで、認証されていない攻撃者が脆弱なデバイス上で任意のコードを実行したり、root権限を取得したりする可能性があると警告していた。

その後2週間にわたり、Ciscoはアドバイザリを更新し、CVE-2025-20337が活発に悪用されていることを警告し、（この欠陥を報告した）研究者Bobby Gouldは概念実証の悪用コードを公開した。

また、Ciscoは12月に、UAT-9686として追跡されている中国の脅威グループが、Secure Email and Web Manager（SEWM）およびSecure Email Gateway（SEG）アプライアンスを標的とした攻撃で、まだパッチが適用されていない最大レベルのCisco AsyncOSゼロデイ（CVE-2025-20393）を悪用していると警告している。

CVE-2025-20393のセキュリティアップデートがリリースされるまでは、信頼できるホストへの接続を制限し、インターネットアクセスを制限し、トラフィックをフィルタリングするためにファイアウォールの背後に配置することによって、脆弱なアプライアンスへのアクセスを安全かつ制限するよう、シスコは顧客に助言している。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

秘密 セキュリティ・チートシート：スプロールからコントロールへ

古いキーのクリーンアップでも、AIが生成するコードのガードレールの設定でも、このガイドはチームが最初からセキュアに構築するのに役立ちます。

チートシートを入手して、秘密管理の手間を省きましょう。

今すぐダウンロード