Cisco ISE-auth-bypass-flaw är nu försenad på CISA:s KEV-lista

En sårbarhet med maximal allvarlighetsgrad i Cisco Identity Services Engine har nu missat sin federala patchdeadline. CVE-2026-76460, en oautentiserad autentiseringsförbikoppling som påverkar ett ISE- och ISE-PIC-API, har ett CVSS-poäng på 10.0. Cisco offentliggjorde den den 16 september 2026 och bekräftade aktivt utnyttjande; den amerikanska cybersäkerhets- och infrastruktursäkerhetsmyndigheten CISA lade till den i sin Known Exploited Vulnerabilities-katalog samma dag, vilket gav federala civila myndigheter till den 19 september på sig att åtgärda – ett av de kortaste fönster CISA har utfärdat i år. Det datumet har nu passerat.

Vad bristen möjliggör

Cisco uppger att felet beror på otillräcklig autentiseringskontroll på en API-slutpunkt: en specialutformad förfrågan kringgår inloggning helt, oavsett konfiguration. Därifrån kan en angripare nå privilegierade funktioner och i slutändan köra kommandon med root-behörighet, vilket exponerar eller ändrar den identitets- och konfigurationsdata som ISE hanterar för nätverksåtkomstkontroll, VPN-posture-kontroller och gästonboarding. Cisco upptäckte problemet när de löste ett supportärende och har uppgett att det inte finns någon workaround – den enda åtgärden är leverantörens patch.

Patcha och mildra

Ciscos fasta versioner är 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 och 3.5 Patch 4. ISE 3.0 har nått slutet på programvaruunderhåll och har ingen fix; dessa installationer måste migrera till en supportad version. Tills varje nod är patchad rekommenderar Cisco att begränsa exponeringen av hanteringsplanet med åtkomstkontrollistor för infrastruktur som en partiell, tillfällig riskreducering – inte som ett substitut för patchning.

Kontrollera för tidigare intrång

Eftersom ett framgångsrikt utnyttjande kan ge root-åtkomst kan en angripare kunna ta bort eller ändra lokala bevis. Cisco rekommenderar att granska ise-kong/access.log på varje nod efter misstänkta användarnamn och att korrelera fynd mot externa brandväggsloggar och NetFlow-data snarare än att enbart förlita sig på apparatens egna poster. Om intrång misstänks är den säkrare vägen att avbilda noden på nytt och återställa konfigurationen från en känd bra säkerhetskopia.

Denna CVE är åtskild från de separata brister som offentliggjordes samma vecka i Cisco FMC och Secure Email Gateway – behandla var och en på sin egen patchordning snarare än att anta att en fix täcker de andra. För varje organisation som kör ISE efter den missade deadlinen är sekvensen densamma: patcha varje nod nu, begränsa hanteringsåtkomst under tiden och kör logggranskningen innan incidenten förklaras avslutad.

Källor: Cisco Security Advisory, BleepingComputer, SOCRadar.