【漏洞預警】Cisco 旗下身分識別服務存在3個重大資安漏洞

Normal Larger Largest

發佈編號 TACERT-ANA-2026041709042020
發佈時間 2026-04-17 09:43:20
事故類型 ANA-漏洞預警
發現時間 2026-04-17 09:43:20
影響等級 低
[主旨說明:]【漏洞預警】Cisco 旗下身分識別服務存在3個重大資安漏洞
[內容說明:]
轉發 台灣電腦網路危機處理暨協調中心 資安訊息警訊 TWCERTCC-200-202604-00000018

Cisco 旗下身分識別服務引擎(Identity Services Engine，ISE)是一款基於身分的安全管理平台，可從網路、使用者設備收集資訊，並在網路基礎設施中實施策略和制定監管決策，近日Cisco發布重大資安漏洞公告。

【CVE-2026-20180，CVSS：9.9 和 CVE-2026-20186，CVSS：9.9】 皆為遠端執行程式碼漏洞，允許經身分驗證的遠端攻擊者，可在受影響的底層作業系統上執行任意命令。
若利用該漏洞，成功利用此漏洞的前提為攻擊者至少具備唯讀管理者權限。

【CVE-2026-20147，CVSS：9.9】 此漏洞允許經身分驗證的遠端攻擊者在受影響設備的底層作業系統上執行任意命令，成功利用此漏洞的前提為攻擊者至少擁有有效的管理員憑證。
　
情資分享等級: WHITE(情資內容為可公開揭露之資訊)
此訊息僅發送到「區縣市網路中心」，煩請貴單位協助轉發與通知轄下各單位知悉
[影響平台:]
Cisco ISE 3.2(含)之前版本
Cisco ISE 3.2版本
Cisco ISE 3.3版本
Cisco ISE 3.4版本
Cisco ISE 或 Cisco ISE-PIC 3.1(含)之前版本
Cisco ISE 或 Cisco ISE-PIC 3.2版本
Cisco ISE 或 Cisco ISE-PIC 3.3版本
Cisco ISE 或 Cisco ISE-PIC 3.4版本
Cisco ISE 或 Cisco ISE-PIC 3.5版本
[建議措施:]
請更新至以下版本
【CVE-2026-20180、CVE-2026-20186】 Cisco ISE 3.2 Patch 8 Cisco ISE 3.3 Patch 8 Cisco ISE 3.4 Patch 5

【CVE-2026-20147】 Cisco ISE 或 Cisco ISE-PIC 3.1 Patch 11 Cisco ISE 或 Cisco ISE-PIC 3.2 Patch 10 Cisco ISE 或 Cisco ISE-PIC 3.3 Patch 11 Cisco ISE 或 Cisco ISE-PIC 3.4 Patch 6 Cisco ISE 或 Cisco ISE-PIC 3.5 Patch 3

備註:Cisco ISE-PIC已停止販售，3.4版本是最後一個支援的版本
[參考資料:]
1. https://www.twcert.org.tw/tw/cp-169-10849-9d3d6-1.html