據(jù)外媒報(bào)道，思科小型商業(yè)交換機(jī)軟件有一個(gè)關(guān)鍵漏洞（CVE-2018-15439），攻擊者可以未經(jīng)身份驗(yàn)證遠(yuǎn)程控制設(shè)備。

該漏洞的CVSS嚴(yán)重級(jí)別為9.8，它與設(shè)備上的特權(quán)用戶賬戶等默認(rèn)配置有關(guān)。特權(quán)用戶帳戶是為初始登錄而創(chuàng)建的，因而無(wú)法從思科小型商業(yè)交換機(jī)設(shè)備中刪除。

思科發(fā)布的通告中有一個(gè)解決方案，即在設(shè)備配置中添加一個(gè)具有15級(jí)訪問(wèn)權(quán)限級(jí)別的用戶帳戶來(lái)禁用特權(quán)帳戶。用戶可以將admin作為用戶ID來(lái)配置新帳戶，將訪問(wèn)權(quán)限設(shè)置為15級(jí)，并用一個(gè)復(fù)雜密碼替換強(qiáng)密碼。

受影響的思科交換機(jī)有：小型商業(yè)200系列智能交換機(jī)、250系列智能交換機(jī)、300系列托管交換機(jī)、350系列托管交換機(jī)、思科350X系列可堆疊托管交換機(jī)、500系列可堆疊托管交換機(jī)和550X系列可堆疊托管交換機(jī)。

思科220系列、200E系列智能交換機(jī)以及運(yùn)行思科IOS軟件、思科IOS XE軟件或思科NX-OS軟件的設(shè)備均不受影響。

目前還沒(méi)有漏洞補(bǔ)丁，但思科正盡力修復(fù)漏洞。思科產(chǎn)品安全事件響應(yīng)團(tuán)隊(duì)（PSIRT）目前沒(méi)有發(fā)現(xiàn)有黑客利用該漏洞進(jìn)行攻擊。