Cisco mengumumkan kerentanan terbaru pada produk ISE dan ISE-PIC versi 3.3 dan 3.4 pada Rabu 16 Juli 2025 terkait kurangnya validasi terhadap user input. Kerentanan tersebut masuk dalam kategori level maksimal dimana memiliki skor 10 pada CVSS. Kentaro Kawane, seorang peneliti cybersecurity dari Ierae, Inc (Jepang) adalah aktor dibalik ditemukannya kerentanan tersebut pada saat event Trend Micro Zero Day Initiative 2025. Kerentanan tersebut dilabeli dengan kode CVE-2025-20337.

Perlu diperhatikan bahwa metode serangan yang digunakan tidak membutuhkan user dan password atau bisa dikatakan unauthenticated, lebih detailnya sebagai berikut:

1. Attacker mengirimkan API request khusus (crafted API request) yang sudah disisipkan payload berbahaya secara unauthenticated.
2. Apabila API request tersebut berhasil, maka attacker akan mendapatkan shell dengan hak akses setara root pada target (Cisco ISE dan ISE-PIC).

1. Pastikan selalu melakukan pengecekan versi software/firmware yang terinstall pada Cisco ISE dan ISE-PIC.
2. Lakukan pembaruan (upgrade) ke versi Cisco ISE dan ISE-PIC yang sudah diperbaiki, yakni :
   

   Cisco ISE Release 3.3 Patch 7 Cisco ISE Release 3.4 Patch 2