Błąd w API Cisco Identity Services Engine pozwala bez logowania przejąć urządzenie z uprawnieniami root. Ataki są zautomatyzowane, a wczesne hot patche nie usuwały luki. Sprawdź w panelu, czy masz ISE 3.3 Patch 7 lub 3.4 Patch 2.
Ten alert jest dla zarządu, CTO i CFO firm, które kontrolują dostęp do sieci przez Cisco Identity Services Engine (ISE) lub ISE Passive Identity Connector. Werdykt: jeśli ISE działa w gałęzi 3.3 poniżej Patch 7 albo 3.4 poniżej Patch 2, zaktualizuj go NATYCHMIAST, nawet jeśli w lipcu 2025 wgraliście pakiet naprawczy, bo pierwsze poprawki nie usuwały tego błędu, a ataki są zautomatyzowane.
Amerykańska agencja CISA 28 lipca 2025 roku dopisała podatność CVE-2025-20337 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w jednym z interfejsów API systemu Cisco ISE, który decyduje, kto i do czego ma dostęp w sieci firmy. Spreparowane zapytanie pozwala napastnikowi bez żadnego konta wykonać polecenia na urządzeniu z uprawnieniami root, czyli pełną kontrolą.
Cisco w lipcu 2025 roku wycofało dwa własne pakiety naprawcze (hot patch), bo nie usuwały tego błędu. Firmy, które je wgrały, mogły uznać sprawę za zamkniętą, choć urządzenie pozostało podatne. W lipcu 2025 roku Cisco odnotowało też próby wykorzystania luki w atakach. Termin naprawy wg CISA minął 18 sierpnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-20337 (biuletyn Cisco cisco-sa-ise-unauth-rce-ZAd2GnJ6) |
Data dodania do CISA KEV | 2025-07-28 |
Termin naprawy wg CISA | 2025-08-18 (21 dni od wpisu) |
Produkt | Cisco Identity Services Engine (ISE) i ISE Passive Identity Connector (ISE-PIC) |
Wersje zagrożone | ISE i ISE-PIC 3.3 (do Patch 6 włącznie) oraz 3.4 (bez poprawki i z Patch 1), niezależnie od konfiguracji. Wg Cisco wydania 3.2 i starsze nie są podatne na ten błąd (europejska baza EUVD wymienia też ISE-PIC 3.1 i 3.2; rozstrzyga biuletyn producenta) |
Wersje bezpieczne | ISE 3.3 Patch 7 i ISE 3.4 Patch 2 oraz nowsze. Uwaga: wycofane pakiety ise-apply-CSCwo99449 nie usuwają tego błędu |
Typ podatności | Wstrzyknięcie (niewystarczająca walidacja danych wejściowych w API) prowadzące do wykonania kodu jako root; CWE-74 |
Ocena CVSS | Cisco (zapis w NVD): 10.0 (CVSS 3.1, KRYTYCZNA), maksimum skali. Atak przez sieć, niska złożoność, bez uprawnień i udziału użytkownika, skutki poza zaatakowanym komponentem. NVD nie wystawiło własnej oceny |
Wyobraź sobie strażnika przy wejściu do zakładu, który wypisuje przepustki: handlowiec wchodzi do biura, magazynier tylko na halę, gość tylko do poczekalni. Strażnik przyjmuje też zlecenia przez okienko od innych działów. Okazuje się, że jeśli w zleceniu sprytnie dopisać zdanie „wykonaj też to polecenie”, strażnik je wykona, a do tego ma klucze do wszystkich drzwi. Kto przejmie strażnika, nie musi łamać żadnego zamka, bo sam wypisuje sobie przepustki.
Tak działa ta luka. Cisco ISE przyjmuje zapytania od innych programów przez API. Dane w zapytaniu nie były wystarczająco sprawdzane, więc napastnik mógł zamiast danych podsunąć polecenie dla systemu operacyjnego. Urządzenie wykonywało je z najwyższymi uprawnieniami, bez pytania o login i hasło.
💡 Cisco ISE to system kontroli dostępu do sieci: sprawdza, jakie urządzenie się łączy i do czego może mieć dostęp. API to kanał, przez który programy wymieniają się danymi i poleceniami. Root to konto bez ograniczeń w systemie. Hot patch to pakiet naprawczy wgrywany bez pełnej aktualizacji wersji. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program wysyła zapytanie do API ISE | ISE przetwarza dane i odpowiada | Spreparowane zapytanie wykonuje polecenie jako root |
Napastnik bez konta | Brak dostępu | Pełna kontrola nad ISE |
Zasady dostępu do sieci | Tablet z hali widzi tylko program magazynowy | Napastnik może sam sobie nadać dostęp do wszystkiego |
Wgrany hot patch z lipca 2025 | Rejestr: „załatane” | Urządzenie nadal podatne |
Obejście bez aktualizacji | Zwykle możliwe | Cisco: brak obejść |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Wystarczy sieciowy dostęp do interfejsu ISE, bez konta. CISA ocenia atak jako możliwy do zautomatyzowania, więc napastnicy nie wybierają ofiar ręcznie, tylko skanują sieć w poszukiwaniu podatnych urządzeń.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie osiągalnych urządzeń Cisco ISE | Lista celów |
2. Przejęcie | T+minuty | Wysłanie spreparowanego zapytania do podatnego API | Polecenia wykonywane jako root |
3. Utrwalenie | T+godziny | Instalacja ukrytego dostępu na urządzeniu | Stała kontrola nad ISE |
4. Zmiana zasad dostępu | T+godziny do dni | Nadanie własnym urządzeniom dostępu do wszystkich segmentów sieci, odczyt danych uwierzytelniających | Swobodny ruch w sieci firmy |
5. Rozpoznanie i kradzież | T+dni | Dostęp do serwerów, systemów księgowych i produkcyjnych | Dane firmy poza organizacją |
6. Skutek dla firmy | T+dni do tygodni | Szpiegostwo, sabotaż lub przygotowanie szantażu | Wyciek, przestój, utrata kontroli nad siecią |
ISE to strażnik całej sieci. Jego przejęcie unieważnia segmentację i zasady dostępu, na których firma buduje bezpieczeństwo. Maksymalna ocena CVSS, automatyzacja ataku i prognoza EPSS około 67% (wyżej niż 99% podatności) oznaczają, że niezałatane urządzenie osiągalne dla napastnika zostanie znalezione.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zakłócenie dostępu do sieci, odbudowa ISE i zasad dostępu | Godziny do dni | 50 tys. do 400 tys. PLN (przestój, prace serwisowe) |
Bezpieczeństwo danych | Swobodny dostęp napastnika do wszystkich segmentów sieci, odczyt danych o użytkownikach | Godziny do dni | 40 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, możliwe żądanie okupu po dalszym ataku | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania audytorów o wycofaną poprawkę | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Cisco ISE 3.3 lub 3.4
bez Patch 7 / Patch 2
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka daje pełną kontrolę nad systemem kontroli dostępu bez logowania, jest wykorzystywana i zautomatyzowana, a obejścia nie ma; firmy z ISE 3.2 lub starszym są poza zasięgiem tej konkretnej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w panelu ISE i ISE-PIC wersję i numer poprawki (Patch), nie polegając na wpisie w rejestrze | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować do ISE 3.3 Patch 7 lub 3.4 Patch 2 albo nowszych, także jeśli wgrano hot patch ise-apply-CSCwo99449 | Dziś do 2 dni | Administrator sieci / partner Cisco |
3 | 🔴 NATYCHMIAST | Ograniczyć sieciowy dostęp do interfejsów ISE wyłącznie do niezbędnych systemów i administratorów | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Sprawdzić urządzenia ISE pod kątem śladów przejęcia (nieznane procesy, konta, zmiany zasad dostępu) od czerwca 2025 | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Po aktualizacji zmienić hasła administratorów ISE i poświadczenia integracji | Do 3 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Prowadzić rejestr aktualizacji w trzech kolumnach: co wgrano, jaka wersja po wgraniu, którą wersję biuletynu czytano | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wyznaczyć imiennie osobę, która sprawdza zmiany biuletynów producenta dla wdrożonych poprawek | Do 14 dni | CTO |
Cisco wydało poprawione wersje ISE 3.3 Patch 7 i 3.4 Patch 2 i stwierdziło, że dla tego błędu nie istnieje żadne obejście. Poniższe działania tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu sieciowego do interfejsów ISE (listy dostępu, osobny segment zarządzania) | Średnia: zmniejsza grono potencjalnych napastników, nie usuwa luki | Średnia |
Wzmożone monitorowanie logów ISE i ruchu do jego interfejsów | Niska jako ochrona, pomocna w wykryciu | Średnia |
Hot patch ise-apply-CSCwo99449 | Brak: nie usuwa tego błędu, wycofany przez Cisco | Nie stosować jako rozwiązania |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja ISE | 3.3 do Patch 6 lub 3.4 do Patch 1, ewentualnie z wycofanym hot patchem | 3.3 Patch 7 / 3.4 Patch 2 lub nowsze |
Rejestr aktualizacji | „Załatane” bez weryfikacji wersji | Wersja potwierdzona w panelu i powiązana z wersją biuletynu |
Dostęp do interfejsów ISE | Szeroki | Tylko z segmentu zarządzania |
Wiedza o włamaniu | Brak | Sprawdzone ślady przejęcia |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco odnotowało próby wykorzystania w lipcu 2025 |
Grupy przestępcze | Brak nazw grup w biuletynie producenta i wpisie CISA |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg Cisco (CVSS 3.1) |
PoC dostępny publicznie? | Brak informacji w źródłach tego alertu |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | CISA: możliwa; skutek techniczny całkowity |
Kto zgłosił | Kentaro Kawane (GMO Cybersecurity by Ierae) we współpracy z Trend Zero Day Initiative |
Prognoza EPSS | Ok. 67% szansy próby wykorzystania w 30 dni (24 sierpnia 2026), wyżej niż 99% znanych podatności, trend rosnący (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-20337
CVSS 3.1 (Cisco) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~67% █████████████░░░░░░░ percentyl 99+
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
Obejście producenta BRAK ████████████████████ tylko aktualizacja 2025-06-25 Cisco publikuje biuletyn o lukach w ISE (wersja 1)
2025-07 Cisco udostępnia hot patche ise-apply-CSCwo99449
2025-07-16 Biuletyn w wersji 2: dopisanie CVE-2025-20337,
wycofanie hot patchy, publikacja CVE w NVD
2025-07 Cisco odnotowuje próby wykorzystania w atakach
2025-07-28 CISA dodaje lukę do katalogu KEV
2025-08-18 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-24 EPSS ok. 67%
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami i informacją o wycofanych poprawkach: Cisco Security Advisory cisco-sa-ise-unauth-rce-ZAd2GnJ6 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-20337 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Cisco ISE lub ISE-PIC | CTO | DZISIAJ |
2 | Uzyskać zrzut ekranu z panelu z wersją i numerem Patch, a nie tylko wpis z rejestru | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację poza oknem serwisowym | CTO | DZISIAJ |
4 | Zlecić sprawdzenie ISE pod kątem śladów przejęcia | CTO | DO JUTRA |
5 | Zlecić przegląd rejestru aktualizacji pod kątem innych poprawek wycofanych lub zmienionych przez producentów | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowie z partnerem Cisco odpowiedzialność za śledzenie zmian biuletynów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję i numer Patch pokazuje dziś panel naszego ISE i ISE-PIC? | [wersja], [Patch] | 🔴 |
2 | Czy w 2025 roku wgraliśmy hot patch ise-apply-CSCwo99449? | TAK / NIE, data: [data] | 🔴 |
3 | Czy interfejsy ISE są osiągalne spoza segmentu zarządzania? | TAK / NIE | 🔴 |
4 | Czy sprawdziliśmy ISE pod kątem nieznanych procesów, kont i zmian zasad dostępu? | TAK / NIE | 🟠 |
5 | Czy po aktualizacji zmieniliśmy hasła administratorów i poświadczenia integracji? | TAK / NIE | 🟠 |
6 | Czy nasz rejestr aktualizacji zapisuje wersję urządzenia po wgraniu poprawki i wersję biuletynu? | TAK / NIE | 🟠 |
7 | Kto imiennie sprawdza zmiany biuletynów producenta po wdrożeniu poprawki? | [imię i nazwisko] | 🟡 |
CVE-2025-20337 pozwala bez logowania przejąć Cisco ISE i ISE-PIC 3.3 oraz 3.4 z uprawnieniami root, a ataki są potwierdzone i zautomatyzowane. Pierwsze pakiety naprawcze z lipca 2025 nie usuwały błędu, a obejścia nie ma, więc zadanie na dziś to potwierdzić w panelu, że urządzenie ma co najmniej 3.3 Patch 7 lub 3.4 Patch 2, i jeśli nie, zaktualizować je natychmiast.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.