החולשה CVE-2026-20241 עלולה לאפשר לתוקף מרוחק ללא הזדהות לקבל תעודת זהות של תחנת קצה באמצעות בקשה שנבנתה במיוחד ל־Cisco ISE או ל־ISE-PIC. דירוג החומרה בינוני: CVSS 3.1: 5.3. רשומת CVE.
ההתראה פורסמה ב־4 בנובמבר 2026, 16:00 UTC, ועודכנה ב־19:56 UTC. התקנות פגיעות מושפעות בכל תצורה, ואין פתרון עוקף. התיקונים נכללו בהקשחת ספטמבר. בבדיקתנו ב־5 בנובמבר, 01:58 UTC, צוות PSIRT לא הכיר שימוש זדוני בחולשה זו. אין בכך הבטחה לבטיחות. התראת Cisco.
השוו את התיקון המותקן
התראת ההקשחה מספטמבר מפרטת את הגרסאות המתוקנות הראשונות:
- 3.1: Patch 12
- 3.2: Patch 11
- 3.3: Patch 12
- 3.4: Patch 7
- 3.5: Patch 4, עבור ISE בלבד
ISE-PIC הגיע לסוף המכירה; 3.4 היא גרסתו הנתמכת האחרונה. Cisco ממליצה גם להעביר התקנות ISE בגרסאות 3.1 ו־3.2 לגרסה נתמכת עם כל תיקוני ההקשחה הזמינים.
הגדירו איך בודקים שהשינוי הצליח
העדיפו רישום שינוי קצר על פני סימון כללי של “עודכן”. מספר גרסה ללא מספר התיקון אינו מספיק להשוואה.
- מפו כל צומת. תעדו את המוצר, ענף הגרסה ומספר התיקון המותקן. שמרו את התיעוד לצד בקשת השינוי.
- בחרו יעד שדרוג במכוון. השוו את המיפוי להתראה העדכנית של היצרן ובדקו את מסלול השדרוג הנתמך לפריסה שלכם.
- הכינו אפשרות התאוששות. ודאו שיש גיבוי שמיש, אחראי לתחזוקה ובדיקות מוגדרות לקביעת הצלחת השינוי.
- אמתו לאחר ההתקנה. בדקו שוב את התיקון בכל צומת ונסו תהליכים מייצגים של תעודות והזדהות. תעדו חריגים במקום לסמן שכל הפריסה הושלמה.
התוצאה הרצויה היא מצב מערכת מאומת ובדיקה שאפשר לחזור עליה גם בהתראה הבאה.