Cisco ISE auth-bypass-kwetsbaarheid nu te laat op CISA's KEV-lijst

Een kwetsbaarheid met maximale ernst in Cisco Identity Services Engine heeft nu de federale patchdeadline gemist. CVE-2026-76460, een niet-geauthenticeerde authenticatiebypass die een ISE- en ISE-PIC-API treft, heeft een CVSS-score van 10.0. Cisco maakte het op 16 september 2026 bekend en bevestigde actieve exploitatie; de Amerikaanse Cybersecurity and Infrastructure Security Agency voegde het dezelfde dag toe aan de Known Exploited Vulnerabilities-catalogus, waarbij federale civiele instanties tot 19 september de tijd kregen om te remediëren — een van de kortste termijnen die CISA dit jaar heeft uitgegeven. Die datum is nu verstreken.

Wat de kwetsbaarheid mogelijk maakt

Cisco zegt dat de bug voortkomt uit onvoldoende authenticatiecontrole op een API-eindpunt: een speciaal vervaardigd verzoek omzeilt de login volledig, ongeacht de configuratie. Daarna kan een aanvaller bevoorrechte functies bereiken en uiteindelijk commando's uitvoeren met root-rechten, waardoor de identiteits- en configuratiegegevens die ISE bevat voor netwerktoegangscontrole, VPN-postuurchecks en gastonboarding worden blootgesteld of gewijzigd. Cisco ontdekte het probleem tijdens het oplossen van een supportcase en heeft verklaard dat er geen workaround bestaat — de enige remediatie is de patch van de leverancier.

Patchen en mitigeren

De gefixeerde releases van Cisco zijn 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 en 3.5 Patch 4. ISE 3.0 heeft het einde van softwareonderhoud bereikt en heeft geen fix; die implementaties moeten migreren naar een ondersteunde trein. Totdat elke node is gepatcht, raadt Cisco aan om de blootstelling van het managementvlak te beperken met infrastructure access control lists als een gedeeltelijke, tijdelijke risicovermindering — geen vervanging voor patchen.

Controleren op eerdere compromittatie

Omdat een succesvolle exploit root-toegang kan verlenen, kan een aanvaller mogelijk lokaal bewijs verwijderen of wijzigen. Cisco adviseert om op elke node het ise-kong/access.log te controleren op verdachte gebruikersnamen en bevindingen te correleren met externe firewalllogs en NetFlow-gegevens in plaats van uitsluitend te vertrouwen op de eigen records van het apparaat. Als compromittatie wordt vermoed, is de veiligere weg om de node opnieuw te imageen en de configuratie te herstellen vanuit een bekende goede back-up.

Deze CVE verschilt van de afzonderlijke kwetsbaarheden die dezelfde week in Cisco FMC en Secure Email Gateway zijn bekendgemaakt — behandel elk op zijn eigen patchladder in plaats van aan te nemen dat één fix de anderen dekt. Voor elke organisatie die ISE draait na de gemiste deadline is de volgorde dezelfde: patch nu elke node, beperk ondertussen de managementtoegang en voer de logcontrole uit voordat het incident als gesloten wordt beschouwd.

Bronnen: Cisco Security Advisory, BleepingComputer, SOCRadar.