Luka auth-bypass w Cisco ISE jest już po terminie na liście KEV CISA

Luka o maksymalnej krytyczności w Cisco Identity Services Engine minęła już federalny termin aktualizacji. CVE-2026-76460, nieuwierzytelnione obejście uwierzytelniania dotyczące API ISE i ISE-PIC, ma wskaźnik CVSS 10.0. Cisco ujawniło ją 16 września 2026 r. i potwierdziło aktywne wykorzystywanie; amerykańska agencja Cybersecurity and Infrastructure Security Agency dodała ją do katalogu Known Exploited Vulnerabilities tego samego dnia, dając federalnym agencjom cywilnym czas do 19 września na naprawę — to jedno z najkrótszych okien, jakie CISA wydała w tym roku. Ten termin już minął.

Co umożliwia ta luka

Cisco twierdzi, że luka wynika z niewystarczającej kontroli uwierzytelniania w punkcie końcowym API: specjalnie spreparowane żądanie całkowicie omija logowanie, niezależnie od konfiguracji. Stamtąd atakujący może dotrzeć do funkcji uprzywilejowanych i ostatecznie wykonywać polecenia z uprawnieniami root, ujawniając lub zmieniając dane tożsamości i konfiguracji, które ISE przechowuje na potrzeby kontroli dostępu do sieci, sprawdzania zgodności VPN i onboardingu gości. Cisco wykryło ten problem podczas rozwiązywania zgłoszenia serwisowego i oświadczyło, że nie ma obejścia — jedynym środkiem zaradczym jest poprawka od producenta.

Poprawki i środki zaradcze

Poprawione wersje Cisco to 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 i 3.5 Patch 4. ISE 3.0 osiągnęło koniec wsparcia programowego i nie ma poprawki; takie wdrożenia muszą przejść na wspieraną linię. Dopóki każdy węzeł nie zostanie zaktualizowany, Cisco zaleca ograniczenie ekspozycji płaszczyzny zarządzania za pomocą infrastrukturalnych list kontroli dostępu jako częściowe, tymczasowe zmniejszenie ryzyka — nie zastępuje to instalacji poprawek.

Sprawdzanie wcześniejszego naruszenia

Ponieważ udany exploit może nadać uprawnienia root, atakujący może być w stanie usunąć lub zmienić lokalne ślady. Cisco zaleca przeglądanie pliku ise-kong/access.log na każdym węźle pod kątem podejrzanych nazw użytkowników oraz korelowanie ustaleń z zewnętrznymi dziennikami zapory i danymi NetFlow, zamiast polegać wyłącznie na zapisach samego urządzenia. Jeśli podejrzewane jest naruszenie, bezpieczniejszą ścieżką jest ponowne utworzenie obrazu węzła i przywrócenie konfiguracji ze znanej dobrej kopii zapasowej.

Ten identyfikator CVE różni się od osobnych luk ujawnionych w tym samym tygodniu w Cisco FMC i Secure Email Gateway — każdą z nich należy traktować według własnego harmonogramu poprawek, a nie zakładać, że jedna poprawka obejmuje pozostałe. Dla każdej organizacji, która korzysta z ISE po upływie terminu, kolejność działań jest taka sama: natychmiast zaktualizuj każdy węzeł, w międzyczasie ogranicz dostęp do zarządzania i przeprowadź przegląd logów, zanim uznasz incydent za zamknięty.

Źródła: Poradnik bezpieczeństwa Cisco, BleepingComputer, SOCRadar.