GovCERT.HK 提醒修補 Cisco 三項漏洞：UCS Central、ISE 及 Unified CM
情報摘要
GovCERT.HK 於 11 月 5 日發布 A26-11-07，提醒管理員修補 Cisco UCS Central、ISE／ISE-PIC 及 Unified CM／SME。三項漏洞的利用前提不同：UCS Central 需要有效帳戶，ISE 涉及未認證取得端點身分憑證，Unified CM 跨網站指令碼攻擊則需要用戶點擊連結。
CVE-2026-76506 涉及 UCS Central 網頁管理介面，可能造成遠端程式碼執行或敏感資料外洩。Cisco 明確指出攻擊者需要受影響裝置上的有效用戶憑證，不能概括為未認證遠端接管。
CVE-2026-20241 是 ISE 及 ISE-PIC 的授權檢查問題，可讓未認證遠端攻擊者取得端點身分憑證。CVE-2026-76419 則影響 Unified CM／SME 網頁管理介面；攻擊須誘使用戶點擊連結，可能在介面情境中執行指令碼或存取瀏覽器中的敏感資料。
Cisco 對三項問題均表示沒有可解決漏洞的臨時替代措施，並建議升級至公告指定的修復版本。編輯建議：分別盤點三組產品及其版本，確認適用修補，而非以其中一項已更新推定全部完成。
本文公告日期採 GovCERT.HK 本地警報的 2026 年 11 月 5 日。三則 Cisco 公告均標示首次發布於 11 月 4 日 16:00 GMT，即香港時間 11 月 5 日 00:00；來源欄保留原廠標示的 11 月 4 日。這些是公告日期，不是漏洞首次發現或攻擊日期。
受影響產品
Cisco UCS Central Software；Cisco Identity Services Engine（ISE）及 ISE Passive Identity Connector（ISE-PIC）；Cisco Unified Communications Manager（Unified CM）及 Unified CM Session Management Edition（SME）。
適用讀者
管理上述 Cisco 身分驗證、運算資源及企業通訊系統的香港機構與系統管理員
建議行動
按各產品的 Cisco Fixed Software 表更新。UCS Central 2.1 的首個修復版本為 2.1(2c)，2.0 及更早版本須遷移至已修復版本。ISE／ISE-PIC 的 3.1、3.2、3.3、3.4 分支分別對應 Patch 12、Patch 11、Patch 12、Patch 7；ISE 3.5 對應 Patch 4。ISE-PIC 最後支援版本是 3.4，不能把 3.5 Patch 4 套用到 ISE-PIC。Unified CM／SME 15 對應 15SU5，14 須遷移至已修復版本。升級前核對硬件、軟件相容性與支援狀態；如有疑問，依 GovCERT.HK 建議聯絡產品支援供應商。
風險評級依據
本文整體 high 為編輯採用三項漏洞中的最高供應商評級。Cisco 對 CVE-2026-76506 評為 High，CVSS 3.1 基本分數 7.6；CVE-2026-20241 為 Medium、5.3；CVE-2026-76419 為 Medium、6.1。這不代表三項均屬 High，也不是 GovCERT.HK 的高危評級。
解讀限制
Cisco PSIRT 在三則已核對公告中均表示不知悉所述漏洞的公開通報或惡意利用；這是供應商截至公告的掌握情況，不等於證明沒有攻擊。
GovCERT.HK 警報只提供發布日期，未核實精確小時。官方香港警報構成本地關聯，並不證明香港已有受害者；本地部署數量及實際影響未核實。
各產品的帳戶、用戶互動及版本前提不同；本文列出的修復分支不應當作所有 Cisco 產品通用更新清單。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。