Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Cisco opravuje 15 zraniteľností

Cisco opravuje 15 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete na [1][2][3][4][5][6][7][8][9][10]. Opravené verzie jednotlivých produktov: Cisco Identity Services Engine (ISE) [1][2][3][4] - 3.3 Patch 11, 3.4 Patch 6, 3.5 Patch 3 Cisco ISE Passive Identity Connector (ISE-PIC) [1][3] - 3.3 Patch 11, 3.4 Patch 6, 3.5 Patch 3 Cisco AsyncOS Software for Cisco Secure Web Appliance [5] - 15.2.5-013 Cisco ThousandEyes Enterprise Agent [6] - 1.234.0 Cisco Unity Connection [7][8] - 15SU4, 14SU6 Cisco Webex Services [9][10] - opravené v rámci cloudu

Cisco ISE & ISE-PIC - RCE, eskalácia oprávnení, DoS (CVE-2026-20147)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorským účtom v Cisco ISE alebo ISE-PIC je zasielaním špeciálne vytvorených HTTP požiadaviek umožnené zvýšiť svoje oprávnenia na root a spustiť kód [1]. V rámci single-node nasadenia ISE je útočníkovi umožnené vykonať aj útok DoS.

Zraniteľnosť sa nachádza v produktoch:

  • Cisco Identity Services Engine; <3.1 Patch 11; >=3.2, <3.2 Patch 10; >=3.3, <3.3 Patch 11; >=3.4, <3.4 Patch 6; >=3.5, <3.5 Patch 3;
  • Cisco Identity Services Engine Passive Identity Connector; <3.1 Patch 11; >=3.2, <3.2 Patch 10; >=3.3, <3.3 Patch 11; >=3.4, <3.4 Patch 6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-20147 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 4. 2026.

Cisco ISE - spúšťanie príkazov OS, eskalácia oprávnení, DoS (CVE-2026-20180, CVE-2026-20186)
CVSS 9.9 (Critical)

Autentizovanému vzdialenému útočníkovi s účtom Read Only Admin v Cisco ISE je zasielaním špeciálne vytvorených HTTP požiadaviek umožnené zvýšiť svoje oprávnenia na root a spúšťať príkazy na úrovni operačného systému [2]. V rámci single-node nasadenia ISE je útočníkovi umožnené vykonať aj útok DoS.

Zraniteľnosť sa nachádza v produkte:

  • Cisco Identity Services Engine; <3.2 Patch 8; >=3.3, <3.3 Patch 8; >=3.4, <3.4 Patch 4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 15. 4. 2026.

Cisco Webex Services - neoprávnený prístup (CVE-2026-20184)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok kvôli nedostatočnej validácii certifikátu v integrácii SSO (Single Sign-On) pri komunikácii s Control Hub umožnené v Cisco Webex prevziať identitu ľubovoľného používateľa v rámci služby [9].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 15. 4. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 6. 5. 2026.

CESNET, z.s.p.o. Logo