事件背景：Cisco 一天发布四个CVSS 9分以上严重漏洞
2026年4月17日，Cisco官方安全团队PSIRT集中披露了针对两款核心企业产品的四个严重安全漏洞，并同步发布补丁。这四个漏洞分别影响Identity Services Engine（ISE）网络准入控制系统和Webex Services在线会议协作平台，全部被评定为CVSS 9.8或9.9的最高危级别。目前Cisco尚未发现这批漏洞被在野利用，但鉴于影响产品在企业网络中的核心地位，IT运维和外包服务团队应立即评估风险并推进修复。
四个漏洞一览
| CVE编号 | 影响产品 | CVSS | 漏洞类型 | 利用条件 |
|---|---|---|---|---|
| CVE-2026-20184 | Cisco Webex Services | 9.8 | 证书验证不当 (CWE-295) | 无需认证，远程可利用 |
| CVE-2026-20147 | Cisco ISE / ISE-PIC | 9.9 | 输入验证不足，OS命令注入 | 需要管理员凭据 |
| CVE-2026-20180 | Cisco ISE | 9.9 | 输入验证不足，OS命令注入 | 只读管理员凭据即可 |
| CVE-2026-20186 | Cisco ISE | 9.9 | 输入验证不足，OS命令注入 | 只读管理员凭据即可 |
深度分析：两类产品，两种威胁模型
Cisco Webex：会议室里的"幽灵账户"
CVE-2026-20184的根因是Webex Control Hub在SSO单点登录集成时对证书信任锚（Trust Anchor）验证存在缺陷。攻击者无需账号和密码，只需向Webex服务端点发送一个精心构造的令牌，就能让系统认为他是组织内的任意合法用户——包括CEO、财务总监或IT管理员。
这意味着什么？攻击者可以以被冒充账户的身份参与会议、查阅录像、下载共享文件，在内部协作系统中几乎无声无息地活动。对于将Webex用于高管沟通、商业谈判、技术评审的企业来说，这种攻击的隐蔽性和危害性都远超普通数据泄露。值得庆幸的是，Cisco已在云端完成修复；但使用trust anchors配置的客户必须主动登录Control Hub上传新的IdP SAML证书，否则SSO服务将中断。
Cisco ISE：从"看门人"到"叛徒"
ISE是企业网络零信任架构中的核心组件，负责为所有接入网络的设备和用户做身份认证（802.1X）、授权和审计（AAA）。它决定了"谁能上网、能访问什么资源"。
CVE-2026-20147/20180/20186三个漏洞的共同模式是：攻击者在拥有管理员账号（哪怕是只读权限）后，可通过构造恶意HTTP请求，在ISE底层操作系统上执行任意命令，并可进一步将权限提升至root。在单节点部署场景中，还可能导致ISE节点宕机，使所有依赖802.1X认证的终端瞬间断网。
更值得关注的是CVE-2026-20180和CVE-2026-20186的利用门槛——只读管理员凭据就够了。在很多企业中，只读账户往往被分发给更多的运维和审计人员，凭据泄露概率远高于全权管理员账号。这实际上是用"最小权限"制造了一个更宽的攻击面。
企业IT运维应对建议
Webex修复清单
- 登录Webex Control Hub，检查SSO集成是否使用了trust anchors
- 如已使用：立即上传新的IdP SAML证书（参考Cisco官方文档"Manage single sign-on integration in Control Hub"）
- 修复无需更换本地软件版本，Cisco云端已完成基础修复
Cisco ISE修复版本对照
| 当前版本 | CVE-2026-20147 修复版本 | CVE-2026-20180/20186 修复版本 |
|---|---|---|
| ISE 3.1 | 升级至 3.1 Patch 11 | 需迁移至3.2+ |
| ISE 3.2 | 升级至 3.2 Patch 10 | 升级至 3.2 Patch 8 |
| ISE 3.3 | 升级至 3.3 Patch 11 | 升级至 3.3 Patch 8 |
| ISE 3.4 | 升级至 3.4 Patch 6 | 升级至 3.4 Patch 4 |
| ISE 3.5 | 升级至 3.5 Patch 3 | 不受影响 |
写在最后：身份基础设施的漏洞为何比一般漏洞更危险
这批漏洞再次揭示了一个IT运维中容易被低估的风险：管理"谁能访问什么"的系统本身出了问题，往往比被管理的业务系统漏洞危害更深。ISE是整个企业网络的门卫，Webex是高管日常决策的通道，二者一旦失守，攻击者就能在不触发传统安全告警的情况下，以合法身份在网络内横向移动。
对于依赖Cisco基础设施的企业IT团队而言，建议将这四个CVE的修复纳入本周紧急工单，并检查ISE管理账号的权限分配是否遵循了最小权限原则——只读账号也应定期轮换，不应长期共享。如需专业协助评估或修复，欢迎联系我们的IT外包服务团队。