AnswersPublished22 sources
CVE-2026-76460 w Cisco ISE: pilne łatanie po aktywnym wykorzystaniu luki CVSS 10,0
CVE 2026 76460 to aktywnie wykorzystywana luka CVSS 10,0 w Cisco ISE i ISE PIC. Spreparowane żądanie do API może ominąć uwierzytelnianie i zapewnić zdalne wykonanie poleceń jako root bez poświadczeń ani interakcji uży...
Opublikowane przezEdytowane za pomocą GPT-5.6 TerraObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 to aktywnie wykorzystywana luka CVSS 10,0 w Cisco ISE i ISE PIC. Spreparowane żądanie do API może ominąć uwierzytelnianie i zapewnić zdalne wykonanie poleceń jako root bez poświadczeń ani interakcji uży...
- CISA wpisała lukę do katalogu Known Exploited Vulnerabilities 16 września 2026 r.
- Należy potraktować narażone lub podejrzane węzły ISE jako możliwy incydent: zabezpieczyć materiał dowodowy, przeanalizować ślady dostępu i zmian, a systemów, których czystości nie da się potwierdzić, nie tylko łatać,...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 wymaga natychmiastowej reakcji, ponieważ dotyczy infrastruktury tożsamości i jest już aktywnie wykorzystywana. Luka w Cisco Identity Services Engine (ISE) oraz ISE Passive Identity Connector (ISE-PIC) pozwala zdalnemu napastnikowi bez uwierzytelnienia ominąć kontrolę dostępu przez podatny punkt końcowy API. Skuteczne wykorzystanie może dać wykonanie poleceń z uprawnieniami root na zaatakowanym urządzeniu. 1
3
48
Dlaczego to stan alarmowy
Podatność otrzymała maksymalną ocenę CVSS 10,0. Dotyczy ISE i ISE-PIC niezależnie od konfiguracji urządzenia. Atak nie wymaga poprawnych danych logowania ani działania użytkownika: wystarczy spreparowane żądanie wysłane do podatnego API, aby ominąć zabezpieczenia webowego interfejsu zarządzania. 1
3
40
Cisco ujawniło aktywne wykorzystanie 16 września 2026 r. Tego samego dnia amerykańska agencja CISA wpisała CVE-2026-76460 do katalogu Known Exploited Vulnerabilities (KEV), czyli listy luk znanych jako wykorzystywane w atakach. Dla federalnych agencji cywilnych USA wyznaczono termin usunięcia podatności na 19 września. 1
9
15
Nie istnieje obejście usuwające przyczynę problemu. Dla wspieranych wydań jedynym sposobem naprawy jest instalacja oprogramowania Cisco zawierającego poprawkę. 2
16
Co oznacza obejście uwierzytelniania w ISE
ISE to platforma zarządzania tożsamością i kontrolą dostępu do sieci, dlatego jej przejęcie może narazić kluczowy punkt infrastruktury bezpieczeństwa. Bezpośrednią przyczyną jest niewystarczająca kontrola uwierzytelniania w punkcie końcowym API, która pozwala ominąć zamierzone sprawdzenia dostępu. 1
40
Skutki opisane dla CVE-2026-76460 wykraczają poza dostęp do panelu administracyjnego. Nieuwierzytelniony napastnik może uzyskać wykonanie poleceń jako root, a więc faktyczną kontrolę nad podatnym appliance'em lub węzłem wirtualnym. 3
48
W praktyce organizacje z podatnymi systemami powinny rozważyć obsługę tego problemu jako zdarzenia wymagającego reakcji na incydent — zwłaszcza gdy interfejsy zarządzania lub API ISE są dostępne z niezaufanych sieci albo z rozległych segmentów wewnętrznych. Publiczne informacje potwierdzają aktywne wykorzystanie, ale nie wskazują sprawców, skali ofiar, narzędzi ataku, daty pierwszego wykorzystania ani potwierdzonych działań po przejęciu systemu. 1
15
Poprawione wersje Cisco ISE i ISE-PIC
| Gałąź wydania | Pierwsza wersja z poprawką |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organizacje używające ISE 3.0 powinny zaplanować migrację do wspieranej wersji. Wydanie 3.0 osiągnęło koniec wsparcia serwisowego i nie otrzyma poprawki. Ograniczenie dostępu do interfejsów administracyjnych i API może tymczasowo zmniejszyć ekspozycję, lecz nie zastępuje migracji do wspieranej, poprawionej wersji. 2
16
48
Plan działania dla administratorów
1. Zidentyfikuj wszystkie węzły i zaktualizuj wspierane instalacje
Sporządź inwentaryzację wdrożeń ISE oraz ISE-PIC, w tym węzłów administracyjnych, policy-service, monitorujących i passive-identity. Zweryfikuj wersję oraz poziom poprawek, a następnie zaktualizuj wspierane systemy co najmniej do wskazanego pierwszego wydania z poprawką. 3
13
2. Przed zmianami zabezpiecz materiał dowodowy
Jeżeli pozwala na to sytuacja operacyjna, przed łataniem lub odtworzeniem systemu zbierz odpowiednie logi, stan systemu i sieci, informacje o konfiguracji oraz pakiet wsparcia obsługiwany przez producenta. Wpis CISA w katalogu KEV nakazuje agencjom równolegle stosować wymagania dotyczące wstępnej analizy śledczej i wskazówki producenta. 1
3. Sprawdź oznaki nieautoryzowanego dostępu
Przejrzyj dzienniki aplikacji ISE i audytu administracyjnego pod kątem nieoczekiwanej aktywności API, zdarzeń uwierzytelniania, zmian kont administratorów, polityk, certyfikatów, eksportów konfiguracji oraz zmian repozytoriów. Skoreluj je z telemetrią firewalli, VPN-ów, reverse proxy lub load balancerów, DNS, EDR i przepływów sieciowych — zwłaszcza z połączeniami do interfejsów zarządzania ISE i nietypowym ruchem wychodzącym.
Analizą należy objąć okres sprzed wdrożenia poprawki aż do chwili obecnej. Pozornie czysty interfejs webowy nie jest wystarczającym dowodem braku naruszenia, gdy deklarowany wpływ luki obejmuje wykonanie poleceń jako root. 3
48
4. Odtwórz systemy, które mogły zostać przejęte
Poprawka zamyka podatny wektor wejścia, ale nie dowodzi, że wcześniej przejęty host jest czysty. Węzeł należy odbudować, a nie tylko aktualizować, gdy istnieją dowody wykorzystania luki, niewyjaśnione zmiany na poziomie root, podejrzane procesy, pliki lub połączenia, zmodyfikowany materiał zaufania albo niewytłumaczalne zmiany konfiguracji.
Odtwarzaj wyłącznie z kopii zapasowej potwierdzonej jako wykonana przed podejrzewanym okresem naruszenia. Przed ponownym podłączeniem węzła wdroż poprawioną wersję oprogramowania i zmień poświadczenia lub sekrety, które mogły być przechowywane na systemie albo z niego dostępne. Dotyczy to m.in. kont administracyjnych ISE, poświadczeń API i repozytoriów, a w uzasadnionych przypadkach także potencjalnie ujawnionych certyfikatów i kluczy.
Porównanie z CVE-2026-76461
CVE-2026-76460 było drugim aktywnie wykorzystywanym zero-dayem Cisco ujawnionym w tym tygodniu. Druga luka, CVE-2026-76461, to podatność SQL injection o ocenie CVSS 9,8 w mechanizmie analizy poczty Cisco AsyncOS dla Cisco Secure Email Gateway. Zdalny napastnik bez uwierzytelnienia może wysłać przez podatną bramę spreparowany e-mail zawierający złośliwe instrukcje SQL, co potencjalnie prowadzi do wykonania poleceń jako root. 33
44
Różne są punkty wejścia:
- CVE-2026-76460: spreparowane żądanie do API ISE lub ISE-PIC omija uwierzytelnianie.
1
40
- CVE-2026-76461: złośliwa treść wiadomości e-mail trafia do podatnej logiki analizy poczty w Cisco Secure Email Gateway.
33
Obie luki są szczególnie pilne: według dostępnych informacji są aktywnie wykorzystywane, dostępne zdalnie i mogą zapewnić kontrolę na poziomie root bez wcześniejszego uwierzytelnienia. 15
33
44
Dostępne dowody bezpośrednio potwierdzają Cisco Secure Email Gateway jako produkt dotknięty CVE-2026-76461. Część raportów wymienia także Cisco Secure Email and Web Manager w szerszych komunikatach dotyczących produktów pocztowych Cisco, jednak planowanie aktualizacji powinno opierać się na komunikacie producenta i wytycznych dotyczących konkretnego wdrożonego produktu. 33
41
Czego nadal nie wiadomo
Potwierdzone są aktywne wykorzystanie i najwyższa waga techniczna luki, ale kluczowe szczegóły operacyjne pozostają niepubliczne. Komunikaty Cisco i współczesne publikacje nie ustalają, kto stoi za atakami, ile organizacji ucierpiało, kiedy zaczęto wykorzystywać podatność, jakich narzędzi użyto ani co atakujący robili po uzyskaniu dostępu. 1
15
Informacje o skanowaniu po ujawnieniu podatności są dodatkowym powodem do przyspieszenia działań, ale przedstawiony materiał nie pozwala wiarygodnie oszacować jego skali ani przypisać go konkretnemu aktorowi. Wniosek jest prosty: aktywnie wykorzystywane obejście uwierzytelniania bez obejścia, ocenione na 10,0 i dotyczące infrastruktury tożsamości, należy usunąć natychmiast — a przy realnej ekspozycji lub podejrzanej aktywności równolegle przeprowadzić dochodzenie. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "CVE-2026-76460 w Cisco ISE: pilne łatanie po aktywnym wykorzystaniu luki CVSS 10,0"?
CVE 2026 76460 to aktywnie wykorzystywana luka CVSS 10,0 w Cisco ISE i ISE PIC. Spreparowane żądanie do API może ominąć uwierzytelnianie i zapewnić zdalne wykonanie poleceń jako root bez poświadczeń ani interakcji uży...
What are the key points to validate first?
CVE 2026 76460 to aktywnie wykorzystywana luka CVSS 10,0 w Cisco ISE i ISE PIC. Spreparowane żądanie do API może ominąć uwierzytelnianie i zapewnić zdalne wykonanie poleceń jako root bez poświadczeń ani interakcji uży... CISA wpisała lukę do katalogu Known Exploited Vulnerabilities 16 września 2026 r.
What should I do next in practice?
Należy potraktować narażone lub podejrzane węzły ISE jako możliwy incydent: zabezpieczyć materiał dowodowy, przeanalizować ślady dostępu i zmian, a systemów, których czystości nie da się potwierdzić, nie tylko łatać,...