La faille de contournement d'auth de Cisco ISE est en retard sur la liste KEV CISA

Une vulnérabilité de sévérité maximale dans Cisco Identity Services Engine a désormais dépassé sa date limite de correctif fédéral. CVE-2026-76460, un contournement d'authentification non authentifié affectant une API d'ISE et d'ISE-PIC, affiche un score CVSS de 10.0. Cisco l'a divulguée le 16 septembre 2026 et a confirmé une exploitation active ; l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) l'a ajoutée le même jour à son catalogue des vulnérabilités exploitées connues, donnant aux agences civiles fédérales jusqu'au 19 septembre pour la remédier — l'un des délais les plus courts émis par la CISA cette année. Cette date est désormais dépassée.

Ce que permet la faille

Cisco indique que le bug provient d'un contrôle d'authentification insuffisant sur un point de terminaison d'API : une requête spécialement conçue contourne entièrement la connexion, quelle que soit la configuration. À partir de là, un attaquant peut accéder à des fonctions privilégiées et finalement exécuter des commandes avec des privilèges root, exposant ou altérant les données d'identité et de configuration qu'ISE détient pour le contrôle d'accès réseau, les vérifications de posture VPN et l'intégration des invités. Cisco a découvert le problème en résolvant un cas de support et a déclaré qu'il n'existe aucune solution de contournement — la seule remédiation est le correctif du fournisseur.

Correctif et atténuation

Les versions corrigées de Cisco sont 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4. ISE 3.0 a atteint la fin de la maintenance logicielle et n'a pas de correctif ; ces déploiements doivent migrer vers une branche prise en charge. Jusqu'à ce que chaque nœud soit corrigé, Cisco recommande de restreindre l'exposition du plan de gestion avec des listes de contrôle d'accès d'infrastructure comme réduction partielle et temporaire du risque — pas un substitut au correctif.

Vérification d'une compromission antérieure

Étant donné qu'une exploitation réussie peut accorder un accès root, un attaquant peut être en mesure de supprimer ou d'altérer les preuves locales. Cisco conseille d'examiner le fichier ise-kong/access.log sur chaque nœud à la recherche de noms d'utilisateur suspects, et de corréler les résultats avec les journaux de pare-feu externes et les données NetFlow plutôt que de se fier uniquement aux enregistrements de l'appliance elle-même. Si une compromission est suspectée, la voie la plus sûre est de réimager le nœud et de restaurer la configuration à partir d'une sauvegarde connue et saine.

Ce CVE est distinct des failles distinctes divulguées la même semaine dans Cisco FMC et Secure Email Gateway — traitez chacune sur sa propre échelle de correctifs plutôt que de supposer qu'un correctif couvre les autres. Pour toute organisation exécutant ISE après la date limite dépassée, la séquence est la même : corrigez chaque nœud maintenant, restreignez l'accès de gestion en attendant, et effectuez l'examen des journaux avant de déclarer l'incident clos.

Sources : Avis de sécurité Cisco, BleepingComputer, SOCRadar.