AnswersPublished22 sources
Cisco ISE-fejl med CVSS 10 udnyttes aktivt: Patch straks
CVE 2026 76460 er en aktivt udnyttet CVSS 10,0 sårbarhed i Cisco ISE og ISE PIC. CISA føjede fejlen til kataloget Known Exploited Vulnerabilities den 16.
Udgivet afRedigeret med GPT-5.6 TerraBilleder genereret med GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 er en aktivt udnyttet CVSS 10,0 sårbarhed i Cisco ISE og ISE PIC.
- CISA føjede fejlen til kataloget Known Exploited Vulnerabilities den 16. september 2026.
- Behandl eksponerede eller mistænkelige ISE noder som en mulig sikkerhedshændelse: indsaml beviser, undersøg logge og konfigurationsændringer, og genopbyg noder, hvis kompromittering ikke kan afkræftes.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 er en usædvanligt alvorlig sårbarhed, fordi den rammer identitetsinfrastruktur og allerede udnyttes aktivt. Fejlen påvirker Cisco Identity Services Engine (ISE) og ISE Passive Identity Connector (ISE-PIC). En uautoriseret fjernangriber kan sende en særligt udformet anmodning til et sårbart API-endpoint, omgå godkendelsen og ifølge Cisco-rapportering opnå kommandoafvikling med root-rettigheder på den berørte enhed. 1
3
48
Derfor haster det
Sårbarheden har CVSS 10,0, den højest mulige score. Den berører ISE og ISE-PIC uanset enhedskonfiguration. Angrebet kræver hverken gyldige legitimationsoplysninger eller brugerhandling: En angriber kan bruge en særligt udformet anmodning mod det berørte API-endpoint til at omgå den webbaserede administrationsgrænseflades adgangskontrol. 1
3
40
Cisco oplyste om aktiv udnyttelse den 16. september 2026. Samme dag tilføjede det amerikanske cybersikkerhedsagentur CISA CVE-2026-76460 til sit katalog over kendt udnyttede sårbarheder, Known Exploited Vulnerabilities (KEV). Fristen for afhjælpning hos amerikanske føderale civilsamfundsmyndigheder var 19. september. 1
9
15
Der findes ingen midlertidig løsning, som fjerner den underliggende sårbarhed. For understøttede versioner er installation af Ciscos rettede software den nødvendige afhjælpning. 2
16
Hvad betyder et login-bypass i ISE?
ISE er en platform til netværksidentitet og adgangskontrol. En kompromittering kan derfor ramme et centralt kontrolpunkt i infrastrukturen. Den konkrete tekniske fejl er utilstrækkelig autentifikationskontrol i et API-endpoint, som gør det muligt at omgå de tilsigtede adgangstjek med en specialudformet anmodning. 1
40
Konsekvensen rækker ifølge rapporteringen længere end adgang til administrationsgrænsefladen: En uautoriseret angriber kan opnå kommandoafvikling med root-rettigheder og dermed potentielt fuld kontrol over den berørte appliance eller virtuelle node. 3
48
Organisationer med sårbare systemer bør derfor betragte situationen som en mulig sikkerhedshændelse – især hvis ISE-administration eller API-grænseflader kan nås fra ikke-betroede netværk eller brede interne segmenter. Den offentligt tilgængelige rapportering bekræfter aktiv udnyttelse, men identificerer ikke angribere, omfanget af ofre, exploit-værktøjer, tidspunktet for første udnyttelse eller bekræftet aktivitet efter kompromittering. 1
15
Rettede versioner af Cisco ISE og ISE-PIC
Ciscos første rettede udgivelser er:
| Udgivelsesgren | Første rettede udgivelse |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organisationer, der stadig kører ISE 3.0, bør planlægge en migration til en understøttet version. Version 3.0 har nået slutningen af softwarevedligeholdelsen og modtager ikke en rettelse. At begrænse eksponeringen af administration og API'er kan mindske risikoen under en migration, men det erstatter ikke en opgradering til en understøttet og rettet version. 2
16
48
Praktisk handlingsplan
1. Find alle berørte noder, og opdatér understøttede installationer
Lav en komplet opgørelse over ISE- og ISE-PIC-installationer, herunder administrations-, policy-service-, overvågnings- og passive identity-noder. Kontrollér både installeret version og patchniveau, og opgradér understøttede systemer til den relevante første rettede version eller nyere. 3
13
2. Sikr beviser før indgribende ændringer
Hvis driften tillader det, bør I før patchning eller genopbygning indsamle relevante logge, system- og netværksstatus, konfigurationsdata samt en leverandørunderstøttet supportpakke. CISA's KEV-post henviser myndigheder til at følge krav til forensisk triage sammen med leverandørens afhjælpningsvejledning. 1
3. Undersøg tegn på uautoriseret adgang
Gennemgå ISE-applikationslogge og administrative auditspor for uventet API-aktivitet, autentifikationshændelser, ændringer af administratorer, politikker eller certifikater, konfigurationseksporter og ændringer i repositories. Knyt disse hændelser sammen med telemetry fra firewall, VPN, reverse proxy eller load balancer, DNS, EDR og netværksflow – særligt forbindelser til ISE-administrationsgrænseflader eller usædvanlig udgående trafik.
Søg fra perioden før patchning og frem til nu. En tilsyneladende normal webgrænseflade er ikke i sig selv bevis for, at systemet aldrig har været tilgået, særligt når den rapporterede påvirkning omfatter root-adgang. 3
48
4. Genopbyg noder, der kan være kompromitteret
En patch lukker den sårbare indgang, men dokumenterer ikke i sig selv, at en tidligere kompromitteret vært er ren. Genopbyg frem for blot at patche en node med tegn på udnyttelse, uforklarede ændringer på root-niveau, mistænkelige processer, filer eller forbindelser, ændret tillidsmateriale eller konfigurationsændringer, der ikke kan forklares.
Gendan kun fra en backup, der er valideret til at ligge før det mistænkte kompromitteringstidspunkt. Installér den rettede version, før noden igen forbindes til miljøet, og roter legitimationsoplysninger eller hemmeligheder, som kan have været lagret på eller tilgængelige fra den berørte node. Det kan omfatte ISE-administratorkonti, API- og repository-legitimationsoplysninger samt potentielt eksponerede certifikater eller nøgler.
Sammenligning med CVE-2026-76461
CVE-2026-76460 var Ciscos anden aktivt udnyttede zero-day den uge. Den anden, CVE-2026-76461, er en SQL-injection-sårbarhed med CVSS 9,8 i Cisco AsyncOS' e-mailfortolkning til Cisco Secure Email Gateway. En uautoriseret fjernangriber kan sende en særligt udformet e-mail med ondsindede SQL-udsagn gennem en sårbar gateway og potentielt opnå kommandoafvikling med root-rettigheder. 33
44
De to sårbarheder har forskellige angrebsveje:
- CVE-2026-76460: En særligt udformet anmodning mod et ISE- eller ISE-PIC-API-endpoint omgår autentifikationen.
1
40
- CVE-2026-76461: Ondsindet e-mailindhold når sårbar e-mailfortolkningslogik i Cisco Secure Email Gateway.
33
Begge kræver øjeblikkelig handling, fordi de rapporteres aktivt udnyttet, kan nås eksternt og kan give root-kontrol uden forudgående autentifikation. 15
33
44
Det tilgængelige grundlag bekræfter direkte, at Cisco Secure Email Gateway er berørt af CVE-2026-76461. Nogle rapporter nævner også Cisco Secure Email and Web Manager i bredere Cisco-rådgivninger om e-mailprodukter, men patchplanlægningen bør baseres på Ciscos produktspecifikke rådgivning og versionsvejledning for hvert installeret produkt. 33
41
Det ved vi stadig ikke
Aktiv udnyttelse og den tekniske alvor er bekræftet, men afgørende operationelle detaljer er fortsat ukendte offentligt. Ciscos offentlige oplysninger og samtidig rapportering fastslår ikke, hvem der står bag aktiviteten, hvor mange organisationer der er ramt, hvornår udnyttelsen begyndte, hvilke værktøjer der blev brugt, eller hvad angriberne foretog sig efter adgang. 1
15
Rapporter om scanning efter offentliggørelsen er endnu en grund til at fremskynde afhjælpningen, men det foreliggende grundlag understøtter ikke et pålideligt estimat af scanningernes omfang eller en tilskrivning til en bestemt aktør. Den forsvarlige konklusion er enkel: En aktivt udnyttet, maksimal-alvorlig login-bypass-sårbarhed uden workaround i identitetsinfrastruktur skal patches straks – og undersøges, når eksponering eller mistænkelig aktivitet gør kompromittering sandsynlig. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cisco ISE-fejl med CVSS 10 udnyttes aktivt: Patch straks"?
CVE 2026 76460 er en aktivt udnyttet CVSS 10,0 sårbarhed i Cisco ISE og ISE PIC.
What are the key points to validate first?
CVE 2026 76460 er en aktivt udnyttet CVSS 10,0 sårbarhed i Cisco ISE og ISE PIC. CISA føjede fejlen til kataloget Known Exploited Vulnerabilities den 16. september 2026.
What should I do next in practice?
Behandl eksponerede eller mistænkelige ISE noder som en mulig sikkerhedshændelse: indsaml beviser, undersøg logge og konfigurationsændringer, og genopbyg noder, hvis kompromittering ikke kan afkræftes.