AnswersPublished22 sources
Cisco ISE CVE-2026-76460: zero-day s přístupem root bez přihlášení
CVE 2026 76460 je aktivně zneužívaná zranitelnost s hodnocením CVSS 10,0 v Cisco ISE a ISE PIC. CISA zařadila chybu 16. září 2026 do katalogu Known Exploited Vulnerabilities; americké federální civilní úřady dostaly na nápravu lhůtu do 19.
PublikovalUpraveno pomocí GPT-5.6 TerraObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 je aktivně zneužívaná zranitelnost s hodnocením CVSS 10,0 v Cisco ISE a ISE PIC.
- CISA zařadila chybu 16. září 2026 do katalogu Known Exploited Vulnerabilities; americké federální civilní úřady dostaly na nápravu lhůtu do 19.
- Pro podporované řady jsou k dispozici opravy. Organizace s ISE 3.0, které už skončila softwarová údržba, musí přejít na podporovanou verzi.
- Podezřelé či potenciálně vystavené uzly neřešte jen instalací záplaty: nejprve podle možností zajistěte důkazy, prověřte logy a systémy s možným průnikem obnovte z čistého stavu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 je mimořádně závažná, protože zasahuje infrastrukturu pro správu síťových identit a přístupů a Cisco potvrzuje její aktivní zneužívání. Týká se Cisco Identity Services Engine (ISE) a Cisco ISE Passive Identity Connectoru (ISE-PIC). Neautentizovaný vzdálený útočník může pomocí upraveného požadavku na zranitelné API obejít ověření přístupu; úspěšné zneužití může podle dostupných informací umožnit spouštění příkazů s oprávněním root na napadeném zařízení. 1
3
48
Proč jde o incident s nejvyšší prioritou
Zranitelnost má CVSS 10,0, tedy nejvyšší možné skóre. Dopadá na ISE i ISE-PIC bez ohledu na konfiguraci zařízení. Útočník nepotřebuje platné přihlašovací údaje ani interakci uživatele: stačí zaslat upravený požadavek na dotčený API endpoint a obejít ochrany webového administračního rozhraní. 1
3
40
Cisco zveřejnilo informaci o aktivním zneužívání 16. září 2026. Ve stejný den americká agentura CISA zařadila CVE-2026-76460 do katalogu Known Exploited Vulnerabilities (KEV). Pro civilní federální úřady USA stanovila termín nápravy na 19. září. 1
9
15
Neexistuje postup, který by odstranit samotnou zranitelnost bez instalace opravy. U podporovaných verzí je nápravou nasazení opraveného softwaru Cisco. 2
16
Co znamená obejití autentizace v ISE
Cisco ISE je platforma pro správu identit a řízení přístupu v síti. Kompromitace proto může zasáhnout vysoce citlivý řídicí bod. Bezprostřední technickou příčinou je nedostatečné ověření přístupu na API endpointu: útočník může vytvořeným požadavkem přeskočit zamýšlené kontroly. 1
40
Dopad není omezen jen na zobrazení administračního rozhraní. Neautentizovaný útočník může získat možnost spouštět příkazy s právy root, tedy prakticky ovládat dotčený appliance nebo virtuální uzel. 3
48
Pro organizace s dosažitelným rozhraním pro správu nebo API — ať už z nedůvěryhodných sítí, nebo z příliš široce otevřených interních segmentů — jde proto o možný bezpečnostní incident. Veřejně dostupné informace potvrzují aktivní zneužívání, neuvádějí však útočníky, rozsah obětí, použité nástroje, datum prvního zneužití ani potvrzené kroky po průniku. 1
15
Opravené verze Cisco ISE a ISE-PIC
Cisco vydalo první opravené verze pro následující větve:
| Větev verze | První opravená verze |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organizace používající ISE 3.0 musí naplánovat migraci na podporovanou verzi. Řadě 3.0 skončila softwarová údržba a opravu nedostane. Omezení přístupu k administraci a API může během migrace snížit expozici, nenahrazuje ale přechod na podporovanou opravenou verzi. 2
16
48
Praktický plán reakce
1. Najděte všechny uzly a opravte podporovaná nasazení
Inventarizujte ISE i ISE-PIC, včetně administračních, policy-service, monitorovacích a passive-identity uzlů. U každého ověřte větev verze i úroveň patche a aktualizujte jej alespoň na příslušnou první opravenou verzi. 3
13
2. Pokud to provoz dovolí, zajistěte důkazy před zásahy
Před patchováním nebo obnovou systému shromážděte relevantní logy, stav systému a sítě, konfiguraci a dodavatelem podporovaný servisní balíček. Záznam CISA v KEV vedle pokynů výrobce odkazuje také na požadavky pro forenzní triáž. 1
3. Prověřte známky neautorizovaného přístupu
V aplikačních a administračních záznamech ISE hledejte nečekanou aktivitu API, přihlašovací události, změny účtů administrátorů, politik, certifikátů, exporty konfigurace a úpravy repozitářů. Tyto události korelujte s telemetrií firewallů, VPN, reverzních proxy či load balancerů, DNS, EDR a síťových toků — zejména s přístupy k administračním rozhraním ISE a s neobvyklou odchozí komunikací.
Kontrola by měla pokrýt dobu před nasazením opravy až do současnosti. Zdánlivě čisté webové rozhraní samo o sobě nedokazuje, že k přístupu nikdy nedošlo, zvlášť když hlášený dopad zahrnuje spuštění kódu s právy root. 3
48
4. Uzly s možnou kompromitací raději obnovte z čistého stavu
Záplata uzavře zranitelný vstupní bod, ale sama o sobě nepotvrdí, že dříve kompromitovaný hostitel je čistý. Uzly s důkazy o zneužití, nevysvětlenými změnami na úrovni root, podezřelými procesy, soubory či spojeními, změněným důvěryhodným materiálem nebo nevysvětlenými úpravami konfigurace obnovte, ne pouze opravte.
Obnovujte jen ze zálohy, u níž je ověřeno, že předchází období možné kompromitace. Před opětovným připojením nainstalujte opravenou verzi. Zároveň obměňte přihlašovací údaje a tajemství, která mohla být na uzlu uložena nebo z něj dostupná — například účty administrátorů ISE, přístupy k API a repozitářům a podle okolností i vystavené certifikáty a klíče.
Srovnání s CVE-2026-76461
CVE-2026-76460 byla druhá aktivně zneužívaná zero-day chyba, kterou Cisco zveřejnilo v daném týdnu. Druhá z nich, CVE-2026-76461, má CVSS 9,8 a jde o SQL injection v parsování e-mailů v Cisco AsyncOS pro Cisco Secure Email Gateway. Neautentizovaný vzdálený útočník může přes zranitelnou bránu odeslat upravený e-mail se škodlivými SQL příkazy a potenciálně dosáhnout spuštění příkazů s právy root. 33
44
Vstupní body jsou odlišné:
- CVE-2026-76460: upravený požadavek na API ISE nebo ISE-PIC obchází autentizaci.
1
40
- CVE-2026-76461: škodlivý obsah e-mailu se dostane do zranitelné logiky jeho parsování v Cisco Secure Email Gateway.
33
Obě chyby vyžadují okamžitou prioritu: jsou hlášeny jako aktivně zneužívané, vzdáleně dosažitelné a mohou bez předchozí autentizace vést k ovládnutí systému s právy root. 15
33
44
Dostupné podklady přímo potvrzují Cisco Secure Email Gateway jako produkt zasažený CVE-2026-76461. Některé zdroje v širších advisories k e-mailovým produktům Cisco uvádějí také Cisco Secure Email and Web Manager; plánování oprav je však vhodné řídit produktově konkrétním advisory Cisco a pokyny pro nasazené verze. 33
41
Co zatím není veřejně známo
Aktivní zneužívání i technická závažnost jsou potvrzené, klíčové provozní podrobnosti však zůstávají neznámé. Veřejná sdělení Cisco a dobové zpravodajství neurčují, kdo za aktivitou stojí, kolik organizací bylo zasaženo, kdy zneužívání začalo, jaké nástroje útočníci použili ani co po získání přístupu provedli. 1
15
Hlášení o skenování po zveřejnění chyby jsou dalším důvodem k urychlení nápravy, dostupné podklady ale neumožňují spolehlivě vyčíslit jeho rozsah ani připsat je konkrétnímu aktérovi. Závěr je přesto jednoznačný: aktivně zneužívané obejití autentizace s CVSS 10, bez dostupného workaroundu, v infrastruktuře identit vyžaduje okamžité patchování a při možné expozici či podezřelé aktivitě také důsledné vyšetření. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cisco ISE CVE-2026-76460: zero-day s přístupem root bez přihlášení"?
CVE 2026 76460 je aktivně zneužívaná zranitelnost s hodnocením CVSS 10,0 v Cisco ISE a ISE PIC.
What are the key points to validate first?
CVE 2026 76460 je aktivně zneužívaná zranitelnost s hodnocením CVSS 10,0 v Cisco ISE a ISE PIC. CISA zařadila chybu 16. září 2026 do katalogu Known Exploited Vulnerabilities; americké federální civilní úřady dostaly na nápravu lhůtu do 19.
What should I do next in practice?
Pro podporované řady jsou k dispozici opravy. Organizace s ISE 3.0, které už skončila softwarová údržba, musí přejít na podporovanou verzi.