思科近月接连修补ISE及ISE-PIC 三项风险值10的重大漏洞，本周进一步警告这些漏洞正发生滥用活动。

思科透过最新安全公告指出，2025年7月获知网路上有滥用部份漏洞的意图。思科持续强烈建议客户升级到已修补漏洞的软件版本，降低漏洞攻击风险。

最新漏洞影响思科网路存取控制平台ISE（Identity Services Engine，ISE），以及ISE被动身分识别连接器（Passive Identity Connector，ISE-PIC）。这3项分别是6月份公告的CVE-2025-20281、CVE-2025-20282及上周公告的CVE-2025-20337，皆为CVSS score 10的远端程序码执行漏洞。

其中CVE-2025-20281源自于对使用者输入的验证不足，让攻击者可传送恶意API请求触发，不经验证而以Root权限在OS执行任意程序码。本漏洞于ISE 3.3 Patch 7及3.4 Patch 2修补。

CVE-2025-20282起因为对文件上传验证不足，允许攻击者上传恶意文件到特权目录，以Root权限执行。这项漏洞于ISE 3.4 Patch 2修补，不影响ISE 3.3或以前版本。

CVE-2025-20337也是出于输入验证不足，让攻击者传送变造API请求，无需凭证即可以Root权限执行程序。如同CVE-2025-20281，本漏洞也是于ISE 3.3 Patch 7及3.4 Patch 2修补。

简言之，思科分别释出二项hot patch修补ISE（ISE-PIC）3.3、3.4版本。ISE 3.3用户应升级到Patch 7，而ISE 3.4用户应升级到Patch 2。