Cisco heeft een reeks beveiligingslekken opgelost in Identity Services Engine (ISE) en de ISE Passive Identity Connector (ISE-PIC). De impact loopt uiteen: van kritieke externe code‑uitvoering zonder inlog tot misbruik door beheerdersaccounts, met risico op Denial‑of‑Service, privilege‑escalatie en ongeautoriseerde inzage in gevoelige bestanden. ISE is de toegangscontrolemotor achter 802.1X, gastportalen en posture checks; storingen of misbruik raken daarmee direct de beschikbaarheid en veiligheid van het bedrijfsnetwerk. (cisco.com)

Wat is er precies gepatcht

• Kritieke, ongeauthenticeerde RCE-lekken in specifieke ISE‑API’s (CVE‑2025‑20281, CVE‑2025‑20282 en CVE‑2025‑20337) maakten het mogelijk om op afstand code als root uit te voeren. Cisco meldde in juli 2025 bovendien pogingen tot actief misbruik. Deze issues troffen met name ISE 3.3 en 3.4. CVSS: 10.0. (cisco.com)
• Twee ernstige fouten uit februari 2025 (CVE‑2025‑20124 en CVE‑2025‑20125) konden door elke geldige beheerder worden uitgebuit, zelfs met een read‑only admin. Oorzaken: onveilige Java‑deserialisatie en gebrekkige autorisatiecontroles. Gevolg: commando‑uitvoering als root, configuratiewijzigingen en mogelijke informatieontsluiting. (cisco.com)
• In april 2026 volgden een kritieke RCE (CVE‑2026‑20147, CVSS 9.9) en een padoverstap/informatielek (CVE‑2026‑20148). Ook hier is misbruik mogelijk via speciaal geprepareerde HTTP‑verzoeken door een aanvaller met admin‑rechten. In single‑node omgevingen kan succesvolle exploit zelfs tot tijdelijke onbeschikbaarheid leiden, waardoor nieuwe endpoints niet meer kunnen inloggen op het netwerk. (cisco.com)
• Tot slot is in januari 2026 een XXE‑kwetsbaarheid (CVE‑2026‑20029, CVSS 4.9) verholpen in de licentiefuncties. Met admin‑rechten kon een aanvaller via een gemanipuleerd XML‑bestand willekeurige systeemfiles inzien. Er is proof‑of‑concept‑code beschikbaar; werkende aanvallen waren bij publicatie niet bekend. (cisco.com)

Context: actief misbruik en Nederlandse waarschuwingen
Het Nederlandse NCSC waarschuwde in juni en juli 2025 expliciet voor de kritieke ISE‑lekken, met een update dat er actief misbruik plaatsvond. Organisaties kregen het dringende advies om direct te updaten naar de door Cisco aangegeven versies. (ncsc.nl)

Welke versies fixen de problemen

• Voor de ongeauthenticeerde RCE’s (CVE‑2025‑20281/‑20282/‑20337):
  • 3.3 → Patch 7
  • 3.4 → Patch 2
  • 3.2 en ouder: niet kwetsbaar
    Let op: vroege “hot patches” dekten CVE‑2025‑20337 niet af; Cisco adviseert daarom door te upgraden naar 3.3P7 of 3.4P2. (cisco.com)
• Voor de Java‑deserialisatie en autorisatie‑bypass (CVE‑2025‑20124/‑20125):
  • 3.1 → Patch 10
  • 3.2 → Patch 7
  • 3.3 → Patch 4
  • 3.4: niet kwetsbaar (cisco.com)
• Voor de RCE en path traversal van april 2026 (CVE‑2026‑20147/‑20148):
  • 3.1 → Patch 11
  • 3.2 → Patch 10
  • 3.3 → Patch 11
  • 3.4 → Patch 6
  • 3.5 → Patch 3
    Cisco vermeldt daarbij dat ISE‑PIC end‑of‑sale is en dat 3.4 de laatste ondersteunde release is. (cisco.com)
• Voor de XXE‑kwetsbaarheid (CVE‑2026‑20029):
  • 3.2 → Patch 8
  • 3.3 → Patch 8
  • 3.4 → Patch 4
  • 3.5: niet kwetsbaar (cisco.com)

Wat betekent dit voor je beveiliging

• Scheiding tussen beheer en productie. Beperk de beheertoegang tot een gesegmenteerd managementnetwerk met MFA en IP‑allowlisting. Zo verklein je het risico dat een gecompromitteerd admin‑account de RCE‑lekken met aanmeldingsvereiste kan misbruiken. (cisco.com)
• Update met prioriteit. Maak een upgradepad naar de genoemde patches. Staat je omgeving op 3.3P6 of 3.4P1? Dan is bijwerken naar 3.3P7/3.4P2 essentieel, omdat eerdere hotfixes niet volledig waren. (cisco.com)
• Controleer op sporen van misbruik. Monitor op afwijkende API‑aanroepen richting ISE, onverwachte herstarts, en raadpleeg de door Cisco genoemde Snort‑regels voor detectie. Voer logreview uit op beheeracties en API‑verkeer in de periode vóór de update. (cisco.com)
• Minimaliseer gegevensblootstelling. Omdat sommige fouten het lezen van willekeurige bestanden mogelijk maakten, is het verstandig om gevoelige configuraties en service‑accounts te roteren en te controleren op ongebruikelijke toegang. (cisco.com)

Kort samengevat

• Zonder inlog misbruikbare RCE-lekken met CVSS 10.0 in ISE/ISE‑PIC zijn in juni–juli 2025 verholpen; actieve exploitpogingen zijn toen gezien. (cisco.com)
• Meerdere ernstige fouten vereisten juist wél admin‑rechten (zelfs read‑only), maar konden alsnog leiden tot root‑toegang, DoS of het uitlezen van bestanden. Ook die zijn inmiddels gepatcht; er zijn geen effectieve workarounds behalve updaten. (cisco.com)

Heb je ISE of ISE‑PIC in productie, plan dan zo snel mogelijk de juiste patches in en beperk waar mogelijk de beheeroppervlakte. Dat verkleint het aanvalsoppervlak en voorkomt uitval van netwerktoegang op cruciale momenten. (cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.