AnswersPublished22 sources
Cisco ISE-zero-day CVE-2026-76460 geeft aanvallers zonder inloggegevens roottoegang
CVE 2026 76460 is een actief misbruikt CVSS 10,0 lek in Cisco ISE en ISE PIC. Een speciaal API verzoek kan authenticatie omzeilen en tot root opdrachten leiden, zonder inloggegevens of gebruikersinteractie.
Gepubliceerd doorBewerkt met GPT-5.6 TerraAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 is een actief misbruikt CVSS 10,0 lek in Cisco ISE en ISE PIC. Een speciaal API verzoek kan authenticatie omzeilen en tot root opdrachten leiden, zonder inloggegevens of gebruikersinteractie.
- CISA nam het lek op 16 september 2026 op in de KEV catalogus. Voor Amerikaanse federale civiele instanties gold een hersteldeadline van 19 september.
- Behandel mogelijk blootgestelde of verdachte ISE nodes als een incident: stel bewijs veilig, onderzoek toegangs en configuratiewijzigingen en bouw systemen met mogelijke compromittering opnieuw op.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 is uitzonderlijk ernstig omdat het identiteitsinfrastructuur raakt én al actief wordt misbruikt. Het lek treft Cisco Identity Services Engine (ISE) en ISE Passive Identity Connector (ISE-PIC). Een externe aanvaller zonder authenticatie kan via een kwetsbaar API-eindpunt de toegangscontrole omzeilen. Volgens Cisco kan succesvolle uitbuiting leiden tot het uitvoeren van opdrachten met rootrechten op het getroffen apparaat. 1
3
48
Waarom dit zero-day-lek onmiddellijke actie vraagt
De kwetsbaarheid heeft een CVSS-score van 10,0, de hoogst mogelijke score, en treft ISE en ISE-PIC ongeacht de apparaatconfiguratie. Voor misbruik zijn geen geldige inloggegevens en geen handeling van een gebruiker nodig: een aanvaller hoeft slechts een speciaal samengesteld verzoek naar het getroffen API-eindpunt te sturen om de webgebaseerde beheerinterface te omzeilen. 1
3
40
Cisco maakte actieve uitbuiting bekend op 16 september 2026. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) voegde CVE-2026-76460 diezelfde dag toe aan de Known Exploited Vulnerabilities-catalogus (KEV), met 19 september als hersteldeadline voor Amerikaanse federale civiele instanties. 1
9
15
Er is geen workaround die de onderliggende kwetsbaarheid wegneemt. Voor ondersteunde releases is installatie van Cisco's herstelde software de oplossing. 2
16
Wat een authenticatie-omzeiling in ISE betekent
ISE is een platform voor netwerkidentiteit en toegangscontrole. Een succesvolle aanval kan daarom een centrale en waardevolle beheerlaag in gevaar brengen. Het directe technische probleem is falende API-authenticatie: onvoldoende toegangscontroles maken het mogelijk om met een speciaal verzoek de bedoelde controles te passeren. 1
40
De gemelde impact gaat verder dan alleen toegang tot de beheerinterface. Een niet-geauthenticeerde aanvaller kan rootniveau-opdrachten uitvoeren en daarmee in beginsel volledige controle krijgen over de betrokken appliance of virtuele node. 3
48
Dat maakt dit voor organisaties met kwetsbare systemen een mogelijk incident-responsegeval, vooral wanneer ISE-beheerinterfaces of API's bereikbaar zijn vanaf niet-vertrouwde netwerken of breed toegankelijke interne segmenten. Publieke rapportage bevestigt actieve uitbuiting, maar noemt geen daders, slachtofferaantallen, exploittools, eerste misbruikdatum of bevestigde activiteiten na een inbraak. 1
15
Herstelde Cisco ISE- en ISE-PIC-releases
Cisco heeft de volgende eerste herstelde releases beschikbaar gesteld:
| Releasebranch | Eerste herstelde release |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organisaties die ISE 3.0 gebruiken, moeten migreren naar een ondersteunde release. Versie 3.0 heeft het einde van softwareonderhoud bereikt en krijgt geen oplossing voor dit lek. Het beperken van administratieve en API-blootstelling kan het risico tijdens de migratie verminderen, maar vervangt de overstap naar een ondersteunde, herstelde versie niet. 2
16
48
Praktisch actieplan
1. Breng alle getroffen nodes in kaart en patch ondersteunde installaties
Inventariseer ISE- en ISE-PIC-implementaties, inclusief administratie-, policy-service-, monitoring- en passive-identity-nodes. Controleer zowel de geïnstalleerde release als het patchniveau en upgrade ondersteunde systemen naar de toepasselijke eerste herstelde release of een nieuwere versie. 3
13
2. Stel bewijs veilig vóór ingrijpende wijzigingen
Verzamel, waar dat operationeel haalbaar is, relevante logbestanden, systeem- en netwerkstatus, configuratiegegevens en een door de leverancier ondersteund supportpakket voordat u patcht of herbouwt. De KEV-vermelding van CISA verwijst instanties naast herstel volgens leveranciersinstructies ook naar forensische triagevereisten. 1
3. Onderzoek aanwijzingen voor ongeoorloofde toegang
Controleer ISE-applicatie- en beheerauditlogs op onverwachte API-activiteit, authenticatiegebeurtenissen, wijzigingen aan beheerdersaccounts, policies of certificaten, configuratie-exports en wijzigingen aan repositories. Leg verbanden met telemetrie van firewalls, VPN's, reverse proxies of load balancers, DNS, EDR en netwerkstromen voor verbindingen met ISE-beheerinterfaces of opvallend uitgaand verkeer.
Onderzoek de periode vóór het patchen tot en met nu. Een normaal ogende webinterface is geen afdoend bewijs dat een systeem niet is benaderd, zeker niet omdat de gemelde impact rootniveau-uitvoering omvat. 3
48
4. Bouw mogelijk gecompromitteerde systemen opnieuw op
Patches sluiten de kwetsbare toegang af, maar bewijzen niet dat een eerder gecompromitteerde host weer schoon is. Herbouw een node in plaats van alleen te patchen als er aanwijzingen zijn voor misbruik, onverklaarde wijzigingen met rootrechten, verdachte processen, bestanden of verbindingen, aangepast vertrouwensmateriaal of niet te verklaren configuratiewijzigingen.
Herstel uitsluitend vanaf een back-up waarvan is vastgesteld dat deze van vóór de vermoedelijke compromitteringsperiode dateert. Installeer de herstelde release vóór heraansluiting en roteer inloggegevens of geheimen die op de node waren opgeslagen of vanaf de node bereikbaar waren. Denk daarbij aan ISE-beheerdersaccounts, API- en repository-inloggegevens en mogelijk blootgestelde certificaten of sleutels.
Vergelijking met CVE-2026-76461
CVE-2026-76460 was Cisco's tweede actief misbruikte zero-day die week. De andere, CVE-2026-76461, is een SQL-injectiekwetsbaarheid met CVSS 9,8 in Cisco AsyncOS-e-mailverwerking voor Cisco Secure Email Gateway. Een externe aanvaller zonder authenticatie kan een speciaal opgestelde e-mail met schadelijke SQL-instructies door een kwetsbare gateway sturen, wat mogelijk leidt tot het uitvoeren van opdrachten met rootrechten. 33
44
De toegangspunten verschillen:
- CVE-2026-76460: een speciaal verzoek aan een ISE- of ISE-PIC-API-eindpunt omzeilt authenticatie.
1
40
- CVE-2026-76461: schadelijke e-mailinhoud bereikt kwetsbare e-mailverwerkingslogica in Cisco Secure Email Gateway.
33
Beide lekken zijn bijzonder urgent omdat ze volgens de rapportage actief worden misbruikt, op afstand bereikbaar zijn en zonder voorafgaande authenticatie rootniveau-controle kunnen opleveren. 15
33
44
Het beschikbare bewijs bevestigt Cisco Secure Email Gateway rechtstreeks als getroffen product voor CVE-2026-76461. Sommige berichten noemen ook Cisco Secure Email and Web Manager in bredere advisories over Cisco-e-mailproducten, maar patchplanning moet per geïmplementeerd product uitgaan van Cisco's productspecifieke advisory en release-instructies. 33
41
Wat nog onbekend is
Actieve uitbuiting en de technische ernst zijn bevestigd, maar cruciale operationele details zijn publiekelijk onbekend. Cisco's openbare informatie en berichtgeving uit die periode maken niet duidelijk wie achter de aanvallen zit, hoeveel organisaties zijn geraakt, wanneer de uitbuiting begon, welke hulpmiddelen zijn gebruikt of wat aanvallers na toegang hebben gedaan. 1
15
Meldingen over scans na openbaarmaking zijn een extra reden om herstel te versnellen, maar het beschikbare bewijs ondersteunt geen betrouwbare schatting van de omvang daarvan of toeschrijving aan een specifieke actor. De verdedigbare conclusie is eenvoudig: een actief misbruikte authenticatie-omzeiling met maximale ernst, zonder workaround, in identiteitsinfrastructuur moet onmiddellijk worden gepatcht en onderzocht zodra blootstelling of verdachte activiteit compromittering aannemelijk maakt. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cisco ISE-zero-day CVE-2026-76460 geeft aanvallers zonder inloggegevens roottoegang"?
CVE 2026 76460 is een actief misbruikt CVSS 10,0 lek in Cisco ISE en ISE PIC. Een speciaal API verzoek kan authenticatie omzeilen en tot root opdrachten leiden, zonder inloggegevens of gebruikersinteractie.
What are the key points to validate first?
CVE 2026 76460 is een actief misbruikt CVSS 10,0 lek in Cisco ISE en ISE PIC. Een speciaal API verzoek kan authenticatie omzeilen en tot root opdrachten leiden, zonder inloggegevens of gebruikersinteractie. CISA nam het lek op 16 september 2026 op in de KEV catalogus. Voor Amerikaanse federale civiele instanties gold een hersteldeadline van 19 september.
What should I do next in practice?
Behandel mogelijk blootgestelde of verdachte ISE nodes als een incident: stel bewijs veilig, onderzoek toegangs en configuratiewijzigingen en bouw systemen met mogelijke compromittering opnieuw op.