CVE-2026-76460は、すでに悪用が確認されているうえ、ネットワークの認証・アクセス制御を担う基盤を標的にする点で重大です。Cisco Identity Services Engine（ISE）およびISE Passive Identity Connector（ISE-PIC）に影響し、認証されていないリモート攻撃者が脆弱なAPIエンドポイントへ細工したリクエストを送ることで認証を回避できます。Cisco関連の報道では、悪用に成功すると影響を受けるデバイス上でroot権限のコマンド実行が可能になるとされています。1348

なぜ「今すぐ」の対応が必要なのか

本脆弱性のCVSSスコアは最高値の10.0です。ISE／ISE-PICの設定にかかわらず影響を受け、攻撃に有効な認証情報や利用者の操作は必要ありません。攻撃者は影響するAPIエンドポイントに細工したリクエストを送信し、Webベースの管理インターフェースが本来行うべき認証を回避できます。1340

Ciscoは2026年9月16日、実際の悪用を把握していると公表しました。同日、米国サイバーセキュリティ・インフラ安全保障庁（CISA）はこの脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログに追加。米連邦文民行政機関には9月19日までの是正期限が設定されています。1915

根本的な脆弱性を解消する回避策はありません。サポート対象リリースでは、Ciscoが提供する修正済みソフトウェアへの更新が対処となります。216

ISEでの認証回避が意味すること

ISEはネットワークのID管理とアクセス制御を担う製品です。そのため侵害されれば、組織の重要な制御ポイントが攻撃者の管理下に置かれるおそれがあります。技術的な直接の問題はAPIの認証不備であり、攻撃者は細工したリクエストにより、想定されたアクセスチェックを回避できます。140

影響は管理画面の閲覧にとどまりません。報道によれば、未認証の攻撃者がroot権限でコマンドを実行できる可能性があります。つまり、対象アプライアンスまたは仮想ノードを制御され得るということです。348

特に、ISEの管理画面やAPIが信頼できないネットワークから到達可能な場合、あるいは内部で広範囲にアクセス可能な場合には、脆弱なシステムをインシデント対応の対象として扱う必要があります。公開情報は悪用の事実を確認していますが、攻撃者の正体、被害組織の範囲、攻撃ツール、最初の悪用時期、侵害後の活動については明らかにしていません。115

修正版が提供されているISE／ISE-PICリリース

リリース系統	最初の修正版
ISE／ISE-PIC 3.1	3.1 Patch 12
ISE／ISE-PIC 3.2	3.2 Patch 11
ISE／ISE-PIC 3.3	3.3 Patch 12
ISE／ISE-PIC 3.4	3.4 Patch 7
ISE／ISE-PIC 3.5	3.5 Patch 4

31348

ISE 3.0を運用している組織は、サポート対象リリースへの移行を計画・実施する必要があります。3.0はソフトウェアメンテナンス終了済みであり、修正は提供されません。移行中に管理・APIインターフェースへの到達性を制限することは露出の低減に役立ちますが、修正済みのサポート対象版へ移行する代わりにはなりません。21648

実務上の対応手順

1. 全ノードを特定し、サポート対象版を直ちに更新する

管理ノード、ポリシーサービスノード、監視ノード、Passive Identityノードを含め、すべてのISE／ISE-PIC導入環境を棚卸しします。インストール済みリリースとパッチレベルを確認し、サポート対象システムを該当する最初の修正版、またはそれ以降へ更新してください。313

2. 影響の大きい変更前に証跡を保全する

業務上可能であれば、パッチ適用や再構築の前に、関連ログ、システムとネットワークの状態、設定情報、ベンダーがサポートするサポートバンドルを取得します。CISAのKEVエントリーは、ベンダーの是正手順と併せてフォレンジック・トリアージ要件に従うよう案内しています。1

3. 不正アクセスの痕跡を調査する

ISEのアプリケーションログおよび管理監査記録について、想定外のAPI操作、認証イベント、管理者アカウントの変更、ポリシー変更、証明書変更、設定エクスポート、リポジトリー変更を確認します。あわせて、ファイアウォール、VPN、リバースプロキシまたはロードバランサー、DNS、EDR、ネットワークフローのテレメトリーと突き合わせ、ISE管理インターフェースへの接続や不審な外向き通信を調べます。

調査期間はパッチ適用前から現在までとします。root権限での実行が影響に含まれる以上、Web管理画面が一見正常に見えることだけを、未侵害の根拠にはできません。348

4. 侵害の可能性があるノードは再イメージ化する

パッチは脆弱な侵入経路を閉じますが、すでに侵害されたホストが正常であることを保証するものではありません。悪用の証拠、説明できないroot権限レベルの変更、不審なプロセス・ファイル・通信、改変された信頼情報、説明不能な設定変更があるノードは、単なるパッチ適用ではなく再構築を検討すべきです。

復元するバックアップは、疑われる侵害期間より前のものであることを検証してください。再接続前に修正版を適用し、影響ノードに保存されていた、またはそのノードから到達できた資格情報・シークレットもローテーションします。対象にはISE管理者アカウント、APIおよびリポジトリーの認証情報、露出した可能性のある証明書や鍵が含まれます。

CVE-2026-76461との違い

CVE-2026-76460は、その週にCiscoが公表した2件目の悪用確認済みゼロデイでした。もう1件のCVE-2026-76461は、Cisco Secure Email Gateway向けCisco AsyncOSのメール解析に存在するCVSS 9.8のSQLインジェクション脆弱性です。未認証のリモート攻撃者は、悪意のあるSQL文を含む細工したメールを脆弱なゲートウェイ経由で送信し、root権限のコマンド実行につなげる可能性があります。3344

侵入経路は異なります。

• CVE-2026-76460： ISE／ISE-PICのAPIエンドポイントに対する細工したリクエストで認証を回避。140
• CVE-2026-76461： Cisco Secure Email Gatewayの脆弱なメール解析ロジックに、悪意あるメール内容を到達させる。33

いずれも悪用が報告され、リモートから到達でき、事前認証なしでrootレベルの制御につながり得るため、最優先で対応すべき脆弱性です。153344

現時点の資料でCVE-2026-76461の直接の影響対象として確認できるのはCisco Secure Email Gatewayです。一部の報道では、より広いCiscoメール製品のアドバイザリーにCisco Secure Email and Web Managerも挙げられていますが、パッチ計画では各導入製品についてCiscoの製品別アドバイザリーとリリース情報を基準にしてください。3341

なお公表されていない点

実際の悪用と技術的な深刻度は確認されています。一方でCiscoの公開情報と当時の報道は、誰が攻撃を行ったのか、影響組織数、悪用開始時期、使用ツール、root権限取得後に何が行われたのかを示していません。115

公表後のスキャン活動に関する報告は、対処を急ぐ理由にはなります。ただし、提示された根拠だけでは、スキャン量を信頼性高く推計したり、特定の攻撃者に帰属させたりはできません。確実に言えるのは、回避策がなく、悪用確認済みで、ID基盤に影響する最高深刻度の認証回避脆弱性である以上、即時のパッチ適用と、露出や不審な活動があった場合の侵害調査が必要だということです。1348

CVE-2026-76460は、すでに悪用が確認されているうえ、ネットワークの認証・アクセス制御を担う基盤を標的にする点で重大です。Cisco Identity Services Engine（ISE）およびISE Passive Identity Connector（ISE-PIC）に影響し、認証されていないリモート攻撃者が脆弱なAPIエンドポイントへ細工したリクエストを送ることで認証を回避できます。Cisco関連の報道では、悪用に成功すると影響を受けるデバイス上でroot権限のコマンド実行が可能になるとされています。1348

なぜ「今すぐ」の対応が必要なのか

本脆弱性のCVSSスコアは最高値の10.0です。ISE／ISE-PICの設定にかかわらず影響を受け、攻撃に有効な認証情報や利用者の操作は必要ありません。攻撃者は影響するAPIエンドポイントに細工したリクエストを送信し、Webベースの管理インターフェースが本来行うべき認証を回避できます。1340

Ciscoは2026年9月16日、実際の悪用を把握していると公表しました。同日、米国サイバーセキュリティ・インフラ安全保障庁（CISA）はこの脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログに追加。米連邦文民行政機関には9月19日までの是正期限が設定されています。1915

根本的な脆弱性を解消する回避策はありません。サポート対象リリースでは、Ciscoが提供する修正済みソフトウェアへの更新が対処となります。216

ISEでの認証回避が意味すること

ISEはネットワークのID管理とアクセス制御を担う製品です。そのため侵害されれば、組織の重要な制御ポイントが攻撃者の管理下に置かれるおそれがあります。技術的な直接の問題はAPIの認証不備であり、攻撃者は細工したリクエストにより、想定されたアクセスチェックを回避できます。140

影響は管理画面の閲覧にとどまりません。報道によれば、未認証の攻撃者がroot権限でコマンドを実行できる可能性があります。つまり、対象アプライアンスまたは仮想ノードを制御され得るということです。348

特に、ISEの管理画面やAPIが信頼できないネットワークから到達可能な場合、あるいは内部で広範囲にアクセス可能な場合には、脆弱なシステムをインシデント対応の対象として扱う必要があります。公開情報は悪用の事実を確認していますが、攻撃者の正体、被害組織の範囲、攻撃ツール、最初の悪用時期、侵害後の活動については明らかにしていません。115

修正版が提供されているISE／ISE-PICリリース

リリース系統	最初の修正版
ISE／ISE-PIC 3.1	3.1 Patch 12
ISE／ISE-PIC 3.2	3.2 Patch 11
ISE／ISE-PIC 3.3	3.3 Patch 12
ISE／ISE-PIC 3.4	3.4 Patch 7
ISE／ISE-PIC 3.5	3.5 Patch 4

31348

ISE 3.0を運用している組織は、サポート対象リリースへの移行を計画・実施する必要があります。3.0はソフトウェアメンテナンス終了済みであり、修正は提供されません。移行中に管理・APIインターフェースへの到達性を制限することは露出の低減に役立ちますが、修正済みのサポート対象版へ移行する代わりにはなりません。21648

実務上の対応手順

1. 全ノードを特定し、サポート対象版を直ちに更新する

管理ノード、ポリシーサービスノード、監視ノード、Passive Identityノードを含め、すべてのISE／ISE-PIC導入環境を棚卸しします。インストール済みリリースとパッチレベルを確認し、サポート対象システムを該当する最初の修正版、またはそれ以降へ更新してください。313

2. 影響の大きい変更前に証跡を保全する

業務上可能であれば、パッチ適用や再構築の前に、関連ログ、システムとネットワークの状態、設定情報、ベンダーがサポートするサポートバンドルを取得します。CISAのKEVエントリーは、ベンダーの是正手順と併せてフォレンジック・トリアージ要件に従うよう案内しています。1

3. 不正アクセスの痕跡を調査する

ISEのアプリケーションログおよび管理監査記録について、想定外のAPI操作、認証イベント、管理者アカウントの変更、ポリシー変更、証明書変更、設定エクスポート、リポジトリー変更を確認します。あわせて、ファイアウォール、VPN、リバースプロキシまたはロードバランサー、DNS、EDR、ネットワークフローのテレメトリーと突き合わせ、ISE管理インターフェースへの接続や不審な外向き通信を調べます。

調査期間はパッチ適用前から現在までとします。root権限での実行が影響に含まれる以上、Web管理画面が一見正常に見えることだけを、未侵害の根拠にはできません。348

4. 侵害の可能性があるノードは再イメージ化する

パッチは脆弱な侵入経路を閉じますが、すでに侵害されたホストが正常であることを保証するものではありません。悪用の証拠、説明できないroot権限レベルの変更、不審なプロセス・ファイル・通信、改変された信頼情報、説明不能な設定変更があるノードは、単なるパッチ適用ではなく再構築を検討すべきです。

復元するバックアップは、疑われる侵害期間より前のものであることを検証してください。再接続前に修正版を適用し、影響ノードに保存されていた、またはそのノードから到達できた資格情報・シークレットもローテーションします。対象にはISE管理者アカウント、APIおよびリポジトリーの認証情報、露出した可能性のある証明書や鍵が含まれます。

CVE-2026-76461との違い

CVE-2026-76460は、その週にCiscoが公表した2件目の悪用確認済みゼロデイでした。もう1件のCVE-2026-76461は、Cisco Secure Email Gateway向けCisco AsyncOSのメール解析に存在するCVSS 9.8のSQLインジェクション脆弱性です。未認証のリモート攻撃者は、悪意のあるSQL文を含む細工したメールを脆弱なゲートウェイ経由で送信し、root権限のコマンド実行につなげる可能性があります。3344

侵入経路は異なります。

• CVE-2026-76460： ISE／ISE-PICのAPIエンドポイントに対する細工したリクエストで認証を回避。140
• CVE-2026-76461： Cisco Secure Email Gatewayの脆弱なメール解析ロジックに、悪意あるメール内容を到達させる。33

いずれも悪用が報告され、リモートから到達でき、事前認証なしでrootレベルの制御につながり得るため、最優先で対応すべき脆弱性です。153344

現時点の資料でCVE-2026-76461の直接の影響対象として確認できるのはCisco Secure Email Gatewayです。一部の報道では、より広いCiscoメール製品のアドバイザリーにCisco Secure Email and Web Managerも挙げられていますが、パッチ計画では各導入製品についてCiscoの製品別アドバイザリーとリリース情報を基準にしてください。3341

なお公表されていない点

実際の悪用と技術的な深刻度は確認されています。一方でCiscoの公開情報と当時の報道は、誰が攻撃を行ったのか、影響組織数、悪用開始時期、使用ツール、root権限取得後に何が行われたのかを示していません。115

公表後のスキャン活動に関する報告は、対処を急ぐ理由にはなります。ただし、提示された根拠だけでは、スキャン量を信頼性高く推計したり、特定の攻撃者に帰属させたりはできません。確実に言えるのは、回避策がなく、悪用確認済みで、ID基盤に影響する最高深刻度の認証回避脆弱性である以上、即時のパッチ適用と、露出や不審な活動があった場合の侵害調査が必要だということです。1348