Cisco ha revelado una nueva vulnerabilidad de seguridad de máxima gravedad que afecta a Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC) y que podría permitir a un atacante ejecutar código arbitrario en el sistema operativo subyacente con privilegios elevados.

Rastreado como CVE-2025-20337, la deficiencia lleva una puntuación CVSS de 10,0 y es similar a CVE-2025-20281, que fue parcheado por el equipo de red principal a finales del mes pasado.

"Múltiples vulnerabilidades en una API específica de Cisco ISE y Cisco ISE-PIC podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario en el sistema operativo subyacente como root. El atacante no requiere ninguna credencial válida para explotar estas vulnerabilidades", dijo la compañía en un aviso actualizado.

"Estas vulnerabilidades se deben a una validación insuficiente de la información proporcionada por el usuario. Un atacante podría aprovecharse de estas vulnerabilidades enviando una solicitud de API manipulada. Una explotación exitosa podría permitir al atacante obtener privilegios de root en un dispositivo afectado."

Se atribuye a Kentaro Kawane, de GMO Cybersecurity, el descubrimiento y la notificación del fallo. Kawane fue reconocido anteriormente por otros dos fallos críticos en Cisco ISE (CVE-2025-20286 y CVE-2025-20282) y otro fallo crítico en Fortinet FortiWeb (CVE-2025-25257).

CVE-2025-20337 afecta a las versiones 3.3 y 3.4 de ISE e ISE-PIC, independientemente de la configuración del dispositivo. No afecta a las versiones 3.2 o anteriores de ISE e ISE-PIC. El problema se ha parcheado en las siguientes versiones:

• Cisco ISE o ISE-PIC Release 3.3 (Corregido en 3.3 Parche 7)

• Cisco ISE o ISE-PIC Release 3.4 (Corregido en 3.4 Parche 2)

No hay pruebas de que la vulnerabilidad haya sido explotada en un contexto malicioso. Dicho esto, siempre es una buena práctica asegurarse de que los sistemas se mantienen actualizados para evitar posibles amenazas.

La revelación se produce cuando The Shadowserver Foundation informó que los actores de amenazas probablemente están explotando exploits públicamente liberados asociados con CVE-2025-25257 para lanzar web shells en instancias Fortinet FortiWeb susceptibles desde el 11 de julio de 2025.

A fecha de 15 de julio, se calcula que hay 77 casos infectados, frente a los 85 del día anterior. La mayoría de los ataques se concentran en Norteamérica (44), Asia (14) y Europa (13).

Los datos de la plataforma de gestión de superficie de ataque Censys muestran que hay 20.098 dispositivos Fortinet FortiWeb en línea, excluyendo los honeypots, aunque actualmente no se sabe cuántos de ellos son vulnerables a CVE-2025-25257.

"Este fallo permite a atacantes no autenticados ejecutar comandos SQL arbitrarios a través de peticiones HTTP falsificadas, lo que lleva a la ejecución remota de código (RCE)", dijo Censys.

Fuente: thehackernews