AnswersPublished22 sources
Cisco ISE-zero-day med CVSS 10 utnyttes aktivt – kan gi angripere root-tilgang
CVE 2026 76460 er en aktivt utnyttet CVSS 10.0 sårbarhet i Cisco ISE og ISE PIC. CISA førte sårbarheten opp i KEV katalogen 16.
Publisert avRedigert med GPT-5.6 TerraBilder generert med GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 er en aktivt utnyttet CVSS 10.0 sårbarhet i Cisco ISE og ISE PIC.
- CISA førte sårbarheten opp i KEV katalogen 16. september 2026.
- Oppdater støttede versjoner umiddelbart. ISE 3.0 får ingen feilretting, og må migreres til en støttet versjon.
- Noder som kan ha vært eksponert eller kompromittert bør behandles som en hendelse: sikre bevis, undersøk logger og bygg opp systemer på nytt dersom integriteten ikke kan bekreftes.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 er en sårbarhet med maksimal alvorlighetsgrad i Cisco Identity Services Engine (ISE) og Cisco ISE Passive Identity Connector (ISE-PIC). Cisco har opplyst at den utnyttes aktivt. En angriper på nettverket trenger verken gyldig innlogging eller samhandling fra en bruker: Vedkommende kan sende en spesiallaget forespørsel mot et sårbart API-endepunkt, omgå autentiseringen og i verste fall kjøre kommandoer med root-rettigheter på enheten. 1
3
48
For virksomheter som bruker ISE som sentral løsning for nettverksidentitet og tilgangskontroll, er dette ikke en ordinær oppdateringsoppgave. Det bør håndteres som en mulig sikkerhetshendelse dersom administrasjons- eller API-grensesnittet har vært tilgjengelig fra ikke-klarerte nettverk eller brede interne nettsegmenter.
Hvorfor situasjonen haster
Sårbarheten har CVSS 10.0, høyeste mulige score. Den rammer ISE og ISE-PIC uavhengig av konfigurasjon, og utnyttelse krever ikke autentisering eller brukerinteraksjon. Den tekniske feilen ligger i utilstrekkelig autentiseringskontroll i et API-endepunkt, slik at en forespørsel kan omgå det nettbaserte administrasjonsgrensesnittet. 1
3
40
Cisco offentliggjorde aktiv utnyttelse 16. september 2026. Samme dag la USAs cybersikkerhetsmyndighet CISA sårbarheten inn i sin Known Exploited Vulnerabilities-katalog (KEV), en oversikt over kjente aktivt utnyttede feil. CISA satte 19. september som utbedringsfrist for amerikanske føderale sivile etater. 1
9
15
Det finnes ingen workaround som fjerner den underliggende feilen. For støttede programvareutgaver er installasjon av Ciscos rettede programvare den eneste reelle utbedringen. 2
16
Konsekvensen: uautentisert tilgang med root-rettigheter
ISE er en plattform for identitet og tilgangskontroll i nettverk. Ved vellykket utnyttelse kan en angriper få kontroll over en berørt appliance eller virtuell node. Det rapporterte skadeomfanget går altså langt forbi innsyn i administrasjonsgrensesnittet: Angriperen kan få kommandoeksekvering som root. 3
48
Det er fortsatt mye som ikke er offentlig kjent. Tilgjengelig rapportering identifiserer ikke angriperne, hvor mange virksomheter som er rammet, når utnyttelsen begynte, hvilke verktøy som ble brukt eller hva angriperne eventuelt gjorde etter innbruddet. 1
15
Rettede versjoner av Cisco ISE og ISE-PIC
Cisco har oppgitt følgende første rettede versjoner:
| Versjonsgren | Første rettede versjon |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Virksomheter på ISE 3.0 må planlegge migrering. Denne versjonen har nådd slutten på programvarevedlikehold og får ikke sikkerhetsoppdateringen. Å begrense eksponeringen av administrasjons- og API-grensesnitt kan redusere risikoen mens migreringen pågår, men erstatter ikke overgang til en støttet og rettet versjon. 2
16
48
Hva administratorer bør gjøre nå
1. Finn alle berørte noder og oppdater støttede installasjoner
Kartlegg ISE- og ISE-PIC-installasjoner, også administrasjonsnoder, policy service-noder, overvåkingsnoder og passive identitetsnoder. Kontroller både installert versjon og patch-nivå, og oppgrader støttede systemer til relevant rettet utgave eller nyere. 3
13
2. Sikre bevis før større endringer
Der driften tillater det, bør relevante logger, system- og nettverkstilstand, konfigurasjon og en Cisco-støttet supportpakke samles inn før patching eller gjenoppbygging. CISA viser i sin KEV-oppføring til krav for forensisk triage i tillegg til leverandørens utbedringsråd. 1
3. Let etter tegn på uautorisert tilgang
Gå gjennom ISEs applikasjonslogger og administrative revisjonslogger for uventet API-aktivitet, autentiseringshendelser, endringer i administratorer, policyer eller sertifikater, konfigurasjonseksporter og endringer i repositories.
Knytt funnene mot logger fra brannmur, VPN, reversproxy eller lastbalanserer, DNS, EDR og nettverksflyt. Se spesielt etter forbindelser mot ISEs administrasjonsgrensesnitt og uvanlig utgående trafikk fra ISE-noder. Undersøk perioden før oppdateringen og frem til i dag. Et tilsynelatende normalt webgrensesnitt er ikke i seg selv bevis på at systemet aldri har vært åpnet, særlig når mulig konsekvens er kommandoeksekvering med root-rettigheter. 3
48
4. Bygg opp på nytt ved mulig kompromittering
En patch stenger inngangspunktet, men beviser ikke at en tidligere kompromittert maskin er ren. En node bør bygges opp på nytt fremfor bare å oppdateres dersom det finnes tegn på utnyttelse, uforklarlige endringer med root-rettigheter, mistenkelige prosesser, filer eller nettverksforbindelser, endret tillitsmateriale eller konfigurasjonsendringer som ikke kan forklares.
Gjenopprett kun fra en sikkerhetskopi som er validert til å være fra før den mistenkte kompromitteringsperioden. Installer den rettede programvaren før noden kobles tilbake, og bytt passord, hemmeligheter og nøkler som kan ha vært lagret på eller tilgjengelige fra den berørte noden. Det kan omfatte ISE-administratorkontoer, API- og repository-legitimasjon samt potensielt eksponerte sertifikater og nøkler.
Forskjellen fra CVE-2026-76461
CVE-2026-76460 var Ciscos andre aktivt utnyttede zero-day den samme uken. Den andre, CVE-2026-76461, er en SQL-injeksjonssårbarhet med CVSS 9.8 i e-posttolkingen i Cisco AsyncOS for Cisco Secure Email Gateway. En uautentisert angriper kan sende en spesiallaget e-post med ondsinnede SQL-uttrykk gjennom en sårbar gateway og potensielt oppnå kommandoeksekvering med root-rettigheter. 33
44
Angrepsveiene er forskjellige:
- CVE-2026-76460: En spesiallaget forespørsel mot et API-endepunkt i ISE eller ISE-PIC omgår autentisering.
1
40
- CVE-2026-76461: Ondsinnet e-postinnhold når sårbar e-posttolkingslogikk i Cisco Secure Email Gateway.
33
Begge må prioriteres høyt fordi de er rapportert som aktivt utnyttet, kan nås over nettverk og kan gi root-kontroll uten forhåndsautentisering. 15
33
44
Tilgjengelig dokumentasjon bekrefter direkte at Cisco Secure Email Gateway er berørt av CVE-2026-76461. Enkelte rapporter omtaler også Cisco Secure Email and Web Manager i bredere rådgivning om Ciscos e-postprodukter, men oppdateringsplanlegging bør følge Ciscos produktspesifikke sikkerhetsråd og versjonsveiledning for hvert produkt virksomheten faktisk har installert. 33
41
Det vi fortsatt ikke vet
Aktiv utnyttelse og alvorlighetsgrad er bekreftet, men sentrale operative detaljer er ikke offentlig kjent. Ciscos offentlige informasjon og samtidig rapportering slår ikke fast hvem som står bak, hvor mange som er rammet, når angrepene begynte, hvilke verktøy som er brukt eller hvilken aktivitet som kan ha fulgt etter et kompromiss. 1
15
Rapporter om skanning etter offentliggjøringen er enda en grunn til å fremskynde utbedringen. Kildematerialet gir imidlertid ikke grunnlag for et pålitelig anslag over omfanget eller for å knytte aktiviteten til en bestemt aktør. Den forsvarlige konklusjonen er enkel: En aktivt utnyttet autentiseringsomgåelse med maksimal alvorlighetsgrad, uten workaround, i identitetsinfrastruktur må patches umiddelbart – og undersøkes som en mulig hendelse når eksponering eller mistenkelig aktivitet gjør kompromittering sannsynlig. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cisco ISE-zero-day med CVSS 10 utnyttes aktivt – kan gi angripere root-tilgang"?
CVE 2026 76460 er en aktivt utnyttet CVSS 10.0 sårbarhet i Cisco ISE og ISE PIC.
What are the key points to validate first?
CVE 2026 76460 er en aktivt utnyttet CVSS 10.0 sårbarhet i Cisco ISE og ISE PIC. CISA førte sårbarheten opp i KEV katalogen 16. september 2026.
What should I do next in practice?
Oppdater støttede versjoner umiddelbart. ISE 3.0 får ingen feilretting, og må migreres til en støttet versjon.