CVE-2026-20192: Kritisk fejl i Cisco ISE og ISE-PIC
Kritisk adgangskontrol-fejl i Cisco ISE og ISE-PIC giver angribere fuld systemadgang uden login. Opdatér nu.
Hvad er det?
Cisco har offentliggjort en sikkerhedsopdatering til Cisco Identity Services Engine (ISE) og Cisco ISE Passive Identity Connector (ISE-PIC). Opdateringen lukker flere sårbarheder relateret til forkert adgangskontrol, samlet under CVE-2026-20192. Adgangskontrol styrer, hvem der må gøre hvad i et system. Når den er implementeret forkert, kan uvedkommende få adgang til funktioner eller data, de ikke har rettigheder til. Sårbarhederne blev opdaget internt af Ciscos egne ingeniørteams og er ikke rapporteret som udnyttet udefra. Cisco har udgivet en hærdet softwareversion, der løser problemerne.
Hvem rammer det?
Sårbarhederne rammer organisationer, der anvender Cisco Identity Services Engine (ISE) eller Cisco ISE Passive Identity Connector (ISE-PIC). Cisco ISE bruges typisk til netværksadgangskontrol, altså til at styre hvilke brugere og enheder der må forbinde sig til jeres netværk. ISE-PIC bruges til passiv identifikation af brugere i netværket. Produkterne er udbredte i mellemstore og større virksomheder samt kommuner, der bruger Ciscos netværksinfrastruktur. Præcise versionsnumre for ramte versioner er ikke specificeret i NVD-data på tidspunktet for denne artikel. I bør kontrollere Ciscos officielle sikkerhedsbulletin for at fastslå, om jeres version er berørt.
Hvad kan ske?
En angriber, der udnytter disse sårbarheder, kan potentielt overtage fuld kontrol over Cisco ISE-serveren, herunder læse fortrolige konfigurationer, ændre adgangspolitikker og afbryde netværksadgang for brugere og enheder. I praksis betyder det, at en angriber uden forudgående login kan manipulere med, hvem der får adgang til jeres netværk, potentielt åbne for uautoriserede enheder eller lukke legitime brugere ude. For en dansk virksomhed kan det betyde nedbrud i den daglige drift, kompromittering af følsomme brugerdata og tab af kontrol over netværkssikkerheden.
Hvor alvorligt er det?
CVSS-scoren er 10,0, som er den højest mulige, og klassificeres som kritisk. Angrebsvektoren er netværk, hvilket betyder, at angrebet kan gennemføres over internettet uden fysisk adgang. Angrebskompleksiteten er lav, og der kræves hverken forudgående login eller handling fra en bruger. Konsekvenserne for fortrolighed, integritet og tilgængelighed er alle vurderet til høj. Cisco angiver ikke, at sårbarhederne er aktivt udnyttet udefra på offentliggørelsestidspunktet, men den tekniske profil gør dem attraktive for angribere.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge for at beskytte jeres systemer:
- Identificér alle installationer af Cisco ISE og Cisco ISE-PIC i jeres miljø og find frem til de aktuelle versioner.
- Gå til Ciscos officielle sikkerhedsbulletin for CVE-2026-20192 og find den anbefalede opdaterede version til jeres installation.
- Planlæg og gennemfør opdateringen hurtigst muligt. Prioritér ISE-instanser, der er tilgængelige fra internettet eller fra upålidelige netværkszoner.
- Begræns midlertidigt netværksadgangen til ISE-administrationsgrænsefladerne til kendte og betroede IP-adresser, mens opdateringen forberedes.
- Gennemgå logfiler fra ISE for usædvanlig aktivitet tilbage i tid for at sikre, at der ikke allerede har fundet uautoriseret adgang sted.
- Kontakt en ekstern sikkerhedskonsulent, hvis I ikke har ressourcerne til at gennemføre opdateringen og loggennemgangen selv, eller hvis I finder tegn på kompromittering.
Opdatér inden for 24-48 timer
Vi anbefaler, at I opdaterer Cisco ISE og ISE-PIC til den af Cisco angivne sikre version hurtigst muligt. En CVSS 10-sårbarhed uden krav om forudgående login kræver ikke lang reaktionstid. Det er acceptabelt at vente et planlagt vedligeholdelsesvindue i weekenden, men kun hvis I i mellemtiden har begrænset adgangen til ISE-administrationsgrænsefladerne til betroede netværkssegmenter. Har I ikke intern kapacitet til at håndtere opdateringen og efterfølgende logkontrol, er vi klar til at hjælpe.
Tidslinje
Konkrete eksempler
Kommunal netværksadgang kompromitteret
En mellemstor dansk kommune bruger Cisco ISE til at styre adgangen til sit trådløse netværk for medarbejdere og gæster. En angriber opdager, at kommunens ISE-administrationsgrænseflade er tilgængelig fra et offentligt segment af netværket, og udnytter adgangskontrolfejlen til at ændre politikker, så egne enheder får adgang til det interne medarbejdernetværk. Kommunen opdager først problemet, da usædvanlige enheder vises i netværksloggen. Konsekvensen er potentiel adgang til interne systemer og personoplysninger om borgere og ansatte.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger Cisco ISE eller ISE-PIC?
Cisco ISE og ISE-PIC er serverbaserede produkter, som typisk er installeret af jeres netværksteam eller leverandør. I kan søge i jeres systemdokumentation eller spørge jeres netværksansvarlige. Cisco ISE bruges ofte til at styre Wi-Fi- og VPN-adgang, så hvis I har disse løsninger fra Cisco, er det sandsynligt, at ISE indgår.
Kan vi vente til weekenden med at opdatere?
Det er muligt at vente til et planlagt vedligeholdelsesvindue i weekenden, men I bør i mellemtiden sikre, at adgangen til ISE-administrationsgrænsefladerne er begrænset til betroede IP-adresser og netværkssegmenter. Lad aldrig ISE-administrationsadgangen være åben mod internettet i venteperioden.
Skal vi anmelde dette til Datatilsynet?
En anmeldelse til Datatilsynet er relevant, hvis I konstaterer, at personoplysninger faktisk er blevet kompromitteret som følge af sårbarheden. Selve tilstedeværelsen af en sårbarhed udløser ikke anmeldepligten. Finder I tegn på uautoriseret adgang, skal I vurdere, om personoplysninger har været tilgængelige, og i givet fald anmelde inden for 72 timer.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Cisco har ikke offentliggjort en specifik midlertidig løsning. Den bedste afhjælpning, indtil opdateringen er gennemført, er at begrænse netværksadgangen til ISE-administrationsgrænsefladerne via firewall-regler, så kun kendte og betroede systemer kan nå dem.
Hvad er risikoen, hvis vi ikke bruger Cisco ISE mod internettet?
Selv hvis ISE ikke er direkte eksponeret mod internettet, er risikoen stadig til stede. En angriber, der allerede har fået fodfæste på jeres interne netværk, kan udnytte sårbarheden til at eskalere sine rettigheder og overtage styringen af netværksadgang. Opdatering er den eneste pålidelige løsning.
Hvilken version skal vi opdatere til?
De specifikke versioner, der er berørt og de anbefalede målversioner, fremgår af Ciscos officielle sikkerhedsbulletin for CVE-2026-20192. Vi anbefaler, at I tilgår Ciscos Security Advisories-portal og søger på CVE-id’et for at finde præcise versionsangivelser til jeres installation.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
As part of Cisco’s ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.
The vulnerabilities tracked by CVE-2026-20192 are related to improper access control issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-284.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.