Cisco Secure Workload 關鍵漏洞 CVE‑2026‑20223：未登入也能存取跨租戶資源

Cisco 在 2026 年披露了 CVE‑2026‑20223，這是一個影響 Cisco Secure Workload 平台的重大安全漏洞。問題出現在系統內部 REST API 的存取驗證機制，使未經驗證的遠端攻擊者能夠取得原本屬於其他使用者或租戶的權限。

這類問題在多租戶（multi‑tenant）安全平台中特別嚴重，因為一旦權限邊界被突破，攻擊者可能從單一入口擴大影響範圍。

漏洞是什麼

• CVE‑2026‑20223 是 Cisco Secure Workload 內部 REST API 的存取驗證漏洞。
• 該漏洞允許未經驗證的遠端攻擊者取得網站資源存取權限。
• 攻擊成功後，攻擊者可能以受影響使用者或租戶的權限執行操作。
• 在 NVD（美國國家漏洞資料庫）的記錄中，該漏洞在發布時仍標記為 Awaiting Enrichment，表示詳細分析仍在補充中。

Cisco Secure Workload（過去稱為 Cisco Tetration）是一種用於資料中心與雲端環境的工作負載安全平台，提供流量可視化、微分段（microsegmentation）與政策控制。因此任何能繞過其存取控制的漏洞，都可能影響整個基礎架構的安全策略。

攻擊如何透過未驗證 REST API 發生

現有證據顯示，漏洞核心在於 API 存取驗證不足：

• 系統內部某些 REST API 端點在處理請求時缺乏適當的驗證與授權檢查。
• 攻擊者只需向相關端點發送特製 API 請求即可觸發漏洞。
• 由於攻擊可以從遠端進行，且不需要帳號或憑證，因此門檻相對較低。

若利用成功，攻擊者可能：

• 讀取平台中的敏感資訊
• 修改系統設定或安全策略
• 以其他使用者或租戶的身分存取資源

為何 CVSS 評分可能達到 10.0

問題描述指出此漏洞的 CVSS 評分為 10.0（最高等級），並涉及「Scope Changed」影響。不過，在目前提供的官方證據中，尚未包含完整 CVSS 向量或 Cisco 的詳細評分說明。

即便如此，從漏洞特性可以理解其高嚴重性來源：

• AV:N（網路可利用）：攻擊可透過網路遠端發動
• PR:N（無需權限）：不需要任何帳號
• UI:N（不需使用者互動）：完全自動化攻擊
• 高機密性與權限影響：可存取其他使用者或租戶資源

若攻擊能突破租戶邊界並影響不同權限範圍，就會形成 Scope Changed 的情況，使整體風險評級提高。

受影響版本與修補狀態

目前提供的證據並未包含 Cisco 官方公告中的完整版本矩陣，因此：

• 受影響版本範圍：證據不足
• 修補版本或升級路徑：證據不足
• 是否有暫時性緩解措施：未在提供資料中說明

因此，系統管理員在規劃修補或升級時，仍應直接查閱 Cisco 官方安全公告，以確認實際受影響版本與建議更新版本。

2026 年 Cisco 其他安全漏洞背景

CVE‑2026‑20223 並不是 Cisco 在 2026 年唯一的安全事件。該公司同年還發布多個產品漏洞公告，例如：

• Cisco Prime Infrastructure：資訊外洩漏洞 CVE‑2026‑20189（CVSS 4.3）。
• Cisco Unity Connection：遠端程式碼執行與 SSRF 漏洞 CVE‑2026‑20034、CVE‑2026‑20035（CVSS 8.8）。
• Cisco Identity Services Engine：授權繞過漏洞 CVE‑2026‑20193、CVE‑2026‑20195（CVSS 5.3）。
• Cisco Nexus Dashboard：REST API 相關漏洞 CVE‑2026‑20042（CVSS 6.5）。
• Cisco Secure Firewall Management Center：遠端程式碼執行漏洞 CVE‑2026‑20131（CVSS 10.0）。

這些漏洞顯示，企業網路與雲端管理平台中的 API 安全與權限控制仍然是攻擊者關注的重點。

重點整理

CVE‑2026‑20223 的核心問題在於 內部 REST API 驗證與授權不足，使未經驗證的遠端攻擊者可能取得其他使用者或租戶的權限。

對於使用 Cisco Secure Workload 的企業而言，這類漏洞具有高度風險，因為該平台通常掌控工作負載之間的安全策略。一旦 API 存取控制失效，攻擊者可能繞過整個微分段安全模型。

目前最安全的做法仍是：密切關注 Cisco 官方安全公告，並在確認版本資訊後 儘快套用官方更新或修補程式。