思科披露其身份服务引擎（ISE）存在一个最高严重性的零日漏洞（CVE-2025-20281），该漏洞通用漏洞评分系统（CVSS）得分为满分10分，且已在野外被积极利用。思科证实，已观察到针对客户环境及其内部系统的现实世界利用尝试。负责企业网络访问控制的安全团队应将此缺陷视为最高优先级，并立即应用可用补丁。
漏洞详情与风险
CVE-2025-20281影响思科ISE的基于Web的管理界面。由于特定REST API端点存在输入验证不当，未经身份验证的远程攻击者可构造恶意HTTP请求，触发反序列化缺陷，进而导致内存损坏并以最高权限（root）执行任意代码。由于易受攻击的代码路径在身份验证发生前即可访问，攻击无需凭据，任何能访问ISE管理界面的系统均可发起攻击。
思科ISE作为许多大型企业的核心平台，处理策略执行、设备配置及认证集成。一旦该层受损，攻击者不仅可控制认证决策和证书颁发机构，还能获得横向移动的特权视角，对依赖这些系统进行合规性和事件响应的组织构成运营紧急事件。
修复与缓解措施
思科已在发布公告当天为所有受支持版本提供补丁。运行3.2及更高版本的企业可立即应用更新；对于仍使用3.1版的环境，思科强烈建议升级到已修补的3.2或3.3版本系列，而非等待向后移植的修复程序。
在无法立即打补丁的情况下，组织可通过上游防火墙的访问控制列表限制对管理GUI的访问，或在不需要时禁用某些API服务作为临时缓解措施。但需注意，这些方法并未完全消除风险，仅应被视为补丁完成前的权宜之计。
安全架构启示
此次事件凸显了集中式策略引擎成为高价值目标的趋势。威胁行为者正大量投资于逆向工程安全设备，以获取对数万用户和设备访问权限的控制权。研究表明，利用活动在思科协调披露前约两周已出现在遥测数据中，表明高级对手已知晓该漏洞一段时间。
安全团队应将补丁窗口压缩至小时级，优先处理面向互联网或位于敏感网段的节点。应用更新后，建议进行完整配置备份，审查管理账户是否有未经授权的提升迹象，并检查可疑API调用。此外，组织应评估是否过度依赖单一平台，并考虑实施网络分段、零信任原则及二级认证层等纵深防御措施。
思科产品安全事件响应团队强调，该漏洞不直接影响数据平面或RADIUS认证服务，但一旦节点失守，攻击者可修改策略、安装后门或窃取证书材料。目前，威胁情报公司正监控与此利用相关的入侵指标，包括异常进程执行和管理日志条目。
随着混合工作模式的普及，ISE等本地身份引擎的战略地位日益提升。维护其完整性应被视为基础安全控制，而非偶尔的维护任务。思科承诺将定期提供状态更新，并扩大了漏洞赏金计划以鼓励负责任披露。然而，CVE-2025-20281的发现表明，坚定的对手仍能在供应商意识到之前找到并利用关键问题。对于尚未应用补丁的组织，最安全的做法是假设妥协迫在眉睫，并立即采取行动。