随着网络安全威胁日益严峻，企业和组织对网络访问控制平台的安全性提出了更高要求。然而，近期Cisco的身份服务引擎（ISE）及ISE被动身份连接器（ISE-PIC）被曝出多起极高危漏洞，极大地挑战了网络安全的防线。该漏洞被Cisco官方定为满分10分的严重等级，潜在风险几乎等同于“拿下服务器最高权限”，使得未授权且远程的攻击者能够利用该漏洞执行任意代码，进而全面控制受影响的设备。作为网络访问控制和安全策略管理的核心平台，ISE的安全稳定运行至关重要，这也足以说明此次漏洞的严重性和用户及时升级的重要性。此次漏洞标识为CVE-2025-20337，与此前公布的CVE-2025-20281漏洞密切相关，但又有所不同。Cisco在今年6月首次披露两处满分严重等级漏洞，影响版本涵盖ISE和ISE-PIC的3.3以及3.4版本，无论其设备配置情况如何，均存在潜在风险。
攻击利用的根源在于对用户输入数据的校验不充分，使得攻击者能够通过特别构造的API请求绕过安全检查，导致权限提升。负责漏洞报告的安全专家来自Trend Micro零日漏洞计划和GMO Cybersecurity等知名机构，这也显示了本次漏洞影响范围之广和专业安全团队的关注。Cisco强调，目前尚无已知恶意利用案例，但漏洞的高危等级和攻击门槛极低，意味着任何黑客组织都有极大可能短时间内开发出针对性的攻击代码。针对这一情况，Cisco迅速推出了多版本的软件更新补丁。对于运行ISE 3.4 Patch 2版本的用户，无需额外操作，已获得修复保障；而使用3.3 Patch 6的设备，则必须升级至Patch 7才能有效防范风险。此番发布的安全补丁不仅修复了CVE-2025-20337，还包括此前同属高危类别的CVE-2025-20281和CVE-2025-20282漏洞。
需要特别注意的是早期派发的热补丁并未涵盖CVE-2025-20337漏洞，Cisco建议用户不要依赖这些临时解决方案，务必尽快升级至推荐的官方版本。安全分析师对该漏洞的技术背景进行了深入解读，指出虽然CVE-2025-20281和CVE-2025-20337漏洞类型相同，均属于输入验证不足导致的权限绕过问题，但它们分别位于代码的不同部分，且利用方式存在细微差异，因而被划分为两个独立的CVE编号。此次漏洞揭示了网络访问控制产品在安全设计上的隐忧，也反映出即便是大型企业级厂商同样存在严重安全缺陷。作为核心安全防护工具，ISE承担着关键的身份认证和访问管理职责，一旦遭攻击即可能导致整条网络链路瘫痪，甚至引发大规模数据泄露、内部系统失控等灾难性后果。网络安全专家强烈建议各组织立即审视自身ISE环境，快速应用Cisco最新补丁版本，避免因疏忽造成重大安全损失。同时，也提醒业内安全团队密切关注后续潜在的漏洞利用工具发布及攻击活动趋势，提前做好应对准备。
值得一提的是，近期Cisco旗下其他安全产品同样爆出多起严重漏洞，其中包括统一通信管理器和会话管理版产品内置硬编码凭据导致的远程根访问风险，这表明整体安全风险依然不可忽视，维护厂商软件及时更新成为防护重点。综上所述，Cisco身份服务引擎及其被动身份连接器所曝出的高危漏洞暴露了软件开发过程中的安全薄弱环节，给网络安全从业者敲响警钟。企业须即时采取针对性防护措施，确保身份认证体系的安全可靠，避免网络环境被不法分子轻易攻陷。随着漏洞修复工作的推进，持续关注厂商官方安全公告与规范升级路径，结合自身网络架构特点构建多层次防御体系，方能在复杂多变的网络攻防环境中立于不败之地。
