RéponsesPublié22 sources
CVE-2026-76460 : le zero day Cisco ISE noté 10/10 à corriger sans délai
CVE 2026 76460 est une vulnérabilité CVSS 10,0 activement exploitée dans Cisco ISE et ISE PIC : une requête API forgée peut contourner l’authentification et mener à une exécution de commandes en root, sans identifiant... La CISA a inscrit la faille à son catalogue KEV le 16 septembre 2026 et a fixé au 19 septembre l...
Publié parModifié avec GPT-5.6 TerraImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- CVE 2026 76460 est une vulnérabilité CVSS 10,0 activement exploitée dans Cisco ISE et ISE PIC : une requête API forgée peut contourner l’authentification et mener à une exécution de commandes en root, sans identifiant...
- La CISA a inscrit la faille à son catalogue KEV le 16 septembre 2026 et a fixé au 19 septembre l’échéance de correction pour les agences civiles fédérales américaines.
- Pour les nœuds ISE exposés ou suspects, il faut traiter la situation comme un incident : préserver les éléments de preuve, examiner les journaux et reconstruire les systèmes dont l’intégrité ne peut pas être établie.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 est particulièrement critique parce qu’elle vise une infrastructure d’identité et qu’elle est déjà exploitée. La vulnérabilité touche Cisco Identity Services Engine (ISE) et ISE Passive Identity Connector (ISE-PIC). Elle permet à un attaquant distant non authentifié de contourner l’authentification via un point de terminaison API vulnérable. Selon les informations publiées par Cisco, une exploitation réussie peut aboutir à l’exécution de commandes avec les privilèges root sur l’équipement concerné. 1
3
48
Pourquoi il s’agit d’une urgence
La faille reçoit le score maximal de 10,0 sur l’échelle CVSS. Elle affecte ISE et ISE-PIC quelle que soit la configuration de l’équipement. L’exploitation ne demande ni compte valide ni intervention d’un utilisateur : l’attaquant envoie une requête forgée au point de terminaison API affecté afin de contourner l’interface d’administration web. 1
3
40
Cisco a signalé une exploitation active le 16 septembre 2026. Le même jour, la CISA — l’agence américaine de cybersécurité et de sécurité des infrastructures — a ajouté CVE-2026-76460 à son catalogue KEV (Known Exploited Vulnerabilities, vulnérabilités connues comme exploitées). Elle a fixé au 19 septembre une échéance de correction pour les agences civiles fédérales américaines. 1
9
15
Aucune mesure de contournement ne supprime la vulnérabilité à la source. Pour les versions encore maintenues, l’installation du logiciel corrigé par Cisco est la solution. 2
16
Ce que représente un contournement d’authentification dans ISE
ISE est une plateforme de gestion des identités et de contrôle d’accès au réseau. Sa compromission peut donc mettre en danger un point de contrôle sensible de l’infrastructure. Le défaut technique immédiat est une protection insuffisante de l’authentification d’une API : une requête forgée peut échapper aux vérifications d’accès prévues. 1
40
L’impact va bien au-delà de la simple consultation de l’interface d’administration. Un attaquant non authentifié peut obtenir l’exécution de commandes avec les privilèges root, et donc potentiellement prendre le contrôle de l’appliance ou du nœud virtuel affecté. 3
48
Les organisations disposant de systèmes vulnérables doivent envisager un incident de sécurité, notamment si les interfaces d’administration ou les API ISE sont accessibles depuis des réseaux non fiables ou largement ouverts en interne. Les informations publiques confirment l’exploitation active, mais elles ne précisent ni l’identité des attaquants, ni le nombre de victimes, ni les outils employés, ni la date de début des attaques, ni les actions confirmées après compromission. 1
15
Versions Cisco ISE et ISE-PIC corrigées
| Branche de version | Première version corrigée |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Les organisations utilisant ISE 3.0 doivent préparer une migration vers une version prise en charge. La branche 3.0 a atteint sa fin de maintenance logicielle et ne recevra pas de correctif. Restreindre l’exposition des interfaces d’administration et des API peut réduire le risque durant la migration, mais ne remplace pas le passage à une version corrigée et maintenue. 2
16
48
Plan de réponse pratique
1. Identifier tous les nœuds concernés et corriger les déploiements pris en charge
Inventoriez les déploiements ISE et ISE-PIC, y compris les nœuds d’administration, de service de politiques, de supervision et d’identité passive. Vérifiez pour chacun la version installée et le niveau de correctif, puis mettez à niveau les systèmes pris en charge vers la première version corrigée applicable — ou une version ultérieure. 3
13
2. Préserver les éléments de preuve avant toute modification lourde
Lorsque cela est compatible avec l’exploitation du service, recueillez les journaux pertinents, l’état du système et du réseau, les informations de configuration, ainsi qu’un paquet de support validé par l’éditeur avant de corriger ou de reconstruire. L’entrée KEV de la CISA demande aux agences de respecter ses exigences de triage forensique en complément des consignes de correction de l’éditeur. 1
3. Rechercher les indices d’un accès non autorisé
Examinez les journaux applicatifs et d’audit d’administration d’ISE à la recherche d’activités API inattendues, d’événements d’authentification inhabituels, de changements d’administrateurs, de politiques ou de certificats, d’exports de configuration et de modifications de dépôts.
Corrélez ces événements avec les données des pare-feux, VPN, proxys inverses ou répartiteurs de charge, DNS, EDR et flux réseau : connexions aux interfaces d’administration ISE ou trafic sortant inhabituel depuis les nœuds ISE.
La période d’analyse doit couvrir l’intervalle avant la correction et aller jusqu’au présent. Une interface web apparemment normale ne prouve pas qu’un système n’a jamais été consulté ou compromis, d’autant que l’impact rapporté inclut une exécution en root. 3
48
4. Reconstruire les systèmes potentiellement compromis
Le correctif ferme le point d’entrée vulnérable ; il ne permet pas, à lui seul, d’affirmer qu’un hôte compromis est redevenu sain. Reconstruisez plutôt que de simplement corriger un nœud présentant des indices d’exploitation, des changements root inexpliqués, des processus, fichiers ou connexions suspects, des éléments de confiance modifiés ou des changements de configuration non expliqués.
Ne restaurez qu’une sauvegarde validée comme antérieure à la période de compromission suspectée. Installez la version corrigée avant de reconnecter le nœud, puis renouvelez les identifiants ou secrets susceptibles d’avoir été stockés sur le système affecté ou accessibles depuis celui-ci. Cela peut inclure les comptes administrateurs ISE, les identifiants d’API et de dépôts, ainsi que des certificats ou clés potentiellement exposés.
Comparaison avec CVE-2026-76461
CVE-2026-76460 était le deuxième zero day Cisco activement exploité divulgué cette semaine-là. L’autre faille, CVE-2026-76461, est une injection SQL notée CVSS 9,8 dans le traitement des e-mails par Cisco AsyncOS pour Cisco Secure Email Gateway. Un attaquant distant non authentifié peut envoyer un e-mail forgé contenant des instructions SQL malveillantes via une passerelle vulnérable, ce qui peut conduire à l’exécution de commandes avec les privilèges root. 33
44
Les vecteurs d’entrée sont différents :
- CVE-2026-76460 : une requête forgée vers une API ISE ou ISE-PIC contourne l’authentification.
1
40
- CVE-2026-76461 : le contenu d’un e-mail malveillant atteint une logique vulnérable d’analyse du courrier dans Cisco Secure Email Gateway.
33
Ces deux vulnérabilités sont particulièrement urgentes car elles sont signalées comme activement exploitées, accessibles à distance et susceptibles de donner un contrôle root sans authentification préalable. 15
33
44
Les éléments disponibles confirment directement que Cisco Secure Email Gateway est concerné par CVE-2026-76461. Certains rapports citent aussi Cisco Secure Email and Web Manager dans des avis plus larges sur les produits de messagerie Cisco ; pour planifier les correctifs, il convient toutefois de s’appuyer sur l’avis Cisco et les consignes de version propres à chaque produit déployé. 33
41
Ce qui reste inconnu
L’exploitation active et la gravité technique sont établies, mais plusieurs éléments opérationnels ne sont pas connus publiquement. Les publications de Cisco et les informations contemporaines ne permettent pas de savoir qui mène les attaques, combien d’organisations ont été affectées, quand l’exploitation a commencé, quels outils ont été utilisés ou ce que les attaquants ont fait après avoir obtenu l’accès. 1
15
Les signalements d’analyses et de scans après la divulgation constituent une raison supplémentaire d’accélérer la correction, mais les éléments fournis ne permettent pas d’estimer de manière fiable leur volume ni de les attribuer à un acteur donné. La conclusion défendable est simple : un contournement d’authentification activement exploité, sans solution de contournement, noté au maximum et affectant une infrastructure d’identité doit être corrigé immédiatement — et faire l’objet d’une investigation dès lors que l’exposition ou une activité suspecte rend une compromission plausible. 1
3
48
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « CVE-2026-76460 : le zero day Cisco ISE noté 10/10 à corriger sans délai » ?
CVE 2026 76460 est une vulnérabilité CVSS 10,0 activement exploitée dans Cisco ISE et ISE PIC : une requête API forgée peut contourner l’authentification et mener à une exécution de commandes en root, sans identifiant...
Quels sont les points clés à valider en premier ?
CVE 2026 76460 est une vulnérabilité CVSS 10,0 activement exploitée dans Cisco ISE et ISE PIC : une requête API forgée peut contourner l’authentification et mener à une exécution de commandes en root, sans identifiant... La CISA a inscrit la faille à son catalogue KEV le 16 septembre 2026 et a fixé au 19 septembre l’échéance de correction pour les agences civiles fédérales américaines.
Que dois-je faire ensuite en pratique ?
Pour les nœuds ISE exposés ou suspects, il faut traiter la situation comme un incident : préserver les éléments de preuve, examiner les journaux et reconstruire les systèmes dont l’intégrité ne peut pas être établie.