ОтветыОпубликовано22 источники
CVE-2026-76460 в Cisco ISE: предавторизационный захват системы с правами root
CVE 2026 76460 — активно эксплуатируемая уязвимость CVSS 10,0 в Cisco ISE и ISE PIC: специально сформированный запрос к API позволяет обойти аутентификацию и получить выполнение команд с правами root. CISA внесло уязвимость в каталог KEV 16 сентября 2026 года; для гражданских федеральных ведомств США был установлен...
ОпубликовалОтредактировано с помощью GPT-5.6 TerraИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- CVE 2026 76460 — активно эксплуатируемая уязвимость CVSS 10,0 в Cisco ISE и ISE PIC: специально сформированный запрос к API позволяет обойти аутентификацию и получить выполнение команд с правами root.
- CISA внесло уязвимость в каталог KEV 16 сентября 2026 года; для гражданских федеральных ведомств США был установлен срок устранения до 19 сентября.
- Одной установки патча может быть недостаточно: подозрительные или потенциально доступные извне узлы следует рассматривать как инцидент, сохранить артефакты, проверить журналы и при признаках компрометации развернуть з...
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 — критическая уязвимость в Cisco Identity Services Engine (ISE) и ISE Passive Identity Connector (ISE-PIC), которая уже эксплуатируется в атаках. Она затрагивает API: удалённый злоумышленник без учётной записи может отправить специально сформированный запрос, обойти аутентификацию и получить несанкционированный доступ. По данным Cisco и профильных публикаций, успешная эксплуатация способна привести к выполнению команд с правами root на устройстве. 1
3
48
Почему это нужно считать аварийной задачей
Оценка CVSS 10,0 — максимальная. Уязвимы ISE и ISE-PIC независимо от конфигурации. Для атаки не требуются ни действительные учётные данные, ни действия пользователя: достаточно обработать подготовленный запрос на уязвимой конечной точке API, чтобы обойти защиту веб-интерфейса управления. 1
3
40
Cisco сообщила об активной эксплуатации 16 сентября 2026 года. В тот же день Агентство США по кибербезопасности и защите инфраструктуры (CISA) добавило CVE-2026-76460 в каталог Known Exploited Vulnerabilities (KEV) — перечень уязвимостей с подтверждённой эксплуатацией — и установило для гражданских федеральных ведомств США срок устранения до 19 сентября. 1
9
15
Обходного решения, устраняющего первопричину, нет. Для поддерживаемых веток единственный способ закрыть уязвимость — установить исправленное ПО Cisco. 2
16
Что означает обход аутентификации в ISE
Cisco ISE — платформа управления сетевой идентификацией и контролем доступа. Поэтому её компрометация затрагивает особенно ценный элемент инфраструктуры. Непосредственная техническая причина — недостаточный контроль аутентификации на API-узле: сформированный запрос обходит предусмотренные проверки доступа. 1
40
Потенциальное последствие не ограничивается просмотром панели администратора. Неаутентифицированный атакующий может получить выполнение команд с привилегиями root — то есть фактически контроль над уязвимым устройством или виртуальным узлом. 3
48
Для организаций с уязвимыми системами это повод запускать процедуру реагирования на инцидент, особенно если интерфейсы администрирования или API доступны из недоверенных сетей либо из широких внутренних сегментов. Публичные сведения подтверждают активную эксплуатацию, но не раскрывают ни исполнителей атак, ни масштаб пострадавших, ни инструменты, ни дату начала атак, ни подтверждённые действия после проникновения. 1
15
Исправленные версии Cisco ISE и ISE-PIC
| Ветка релиза | Первая исправленная версия |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Организациям на ISE 3.0 необходимо планировать миграцию на поддерживаемую ветку. Эта версия достигла окончания сопровождения ПО и исправления для неё не будет. На время миграции ограничение доступа к административным интерфейсам и API снизит риск, но не заменит переход на исправленную поддерживаемую версию. 2
16
48
Практический план действий
1. Найдите все узлы и обновите поддерживаемые развёртывания
Инвентаризируйте все установки ISE и ISE-PIC: административные узлы, узлы политик, мониторинга и passive identity. Для каждого проверьте ветку релиза и уровень патча, затем обновите систему до соответствующей первой исправленной версии или более новой. 3
13
2. По возможности сохраните данные до изменений
До обновления или перестроения узла соберите относящиеся к делу журналы, сведения о состоянии системы и сети, конфигурацию, а также поддерживаемый производителем пакет диагностики. Запись CISA в KEV предписывает ведомствам сочетать меры поставщика с требованиями по первичному криминалистическому анализу. 1
3. Проверьте признаки несанкционированного доступа
Изучите журналы приложений ISE и административного аудита: неожиданную активность API, события аутентификации, изменения учётных записей администраторов, политик, сертификатов, экспортов конфигурации и настроек репозиториев. Сопоставьте их с телеметрией межсетевых экранов, VPN, reverse proxy или балансировщиков, DNS, EDR и сетевых потоков — прежде всего с подключениями к интерфейсам управления ISE и необычной исходящей активностью.
Проверять следует период до установки патча и вплоть до текущего момента. Внешне «чистый» веб-интерфейс сам по себе не доказывает, что доступа к системе не было: заявленный эффект атаки включает выполнение команд на уровне root. 3
48
4. Перестраивайте потенциально скомпрометированные узлы
Патч закрывает входную точку, но не подтверждает, что ранее взломанная система чиста. Узел следует не просто обновить, а развернуть заново, если есть свидетельства эксплуатации, необъяснимые изменения с правами root, подозрительные процессы, файлы или соединения, изменённые данные доверия либо необъяснимые изменения конфигурации.
Восстанавливайте данные только из резервной копии, которая подтверждённо создана до предполагаемого периода компрометации. До повторного подключения установите исправленную версию ПО. Также смените учётные данные и секреты, которые хранились на узле или были ему доступны: административные аккаунты ISE, учётные данные API и репозиториев, а при обоснованном риске — сертификаты и ключи.
Чем CVE-2026-76460 отличается от CVE-2026-76461
CVE-2026-76460 стала второй активно эксплуатируемой zero-day-уязвимостью Cisco, раскрытой за ту неделю. Другая — CVE-2026-76461, SQL-инъекция с CVSS 9,8 в механизме разбора почты Cisco AsyncOS для Cisco Secure Email Gateway. Удалённый неаутентифицированный атакующий может отправить через уязвимый шлюз подготовленное письмо с вредоносными SQL-выражениями, что потенциально приведёт к выполнению команд с правами root. 33
44
Точки входа у этих уязвимостей разные:
- CVE-2026-76460: запрос к API ISE или ISE-PIC обходит аутентификацию.
1
40
- CVE-2026-76461: вредоносное содержимое письма попадает в уязвимую логику разбора почты в Cisco Secure Email Gateway.
33
Обе проблемы требуют первоочередного устранения: сообщается об их активной эксплуатации, удалённой достижимости и возможности получить контроль с правами root без предварительной аутентификации. 15
33
44
Доступные данные напрямую подтверждают, что CVE-2026-76461 затрагивает Cisco Secure Email Gateway. В ряде публикаций Cisco Secure Email and Web Manager также упоминается в более широких бюллетенях по почтовым продуктам Cisco, однако план обновления нужно строить по продуктовому бюллетеню Cisco и рекомендациям по версиям для каждого используемого продукта. 33
41
Что пока неизвестно
Активная эксплуатация и критичность проблемы подтверждены, но ключевые обстоятельства атак публично не раскрыты. Из материалов Cisco и современных публикаций не следует, кто стоит за атаками, сколько организаций пострадало, когда началась эксплуатация, какие инструменты применялись и что злоумышленники делали после получения доступа. 1
15
Сообщения о сканировании после раскрытия уязвимости — дополнительный аргумент ускорить обновление. Однако представленные данные не позволяют надёжно оценить объём такого сканирования или связать его с конкретной группировкой. Практический вывод однозначен: активно эксплуатируемый обход аутентификации с CVSS 10,0, без обходного решения и с потенциальным захватом критической инфраструктуры идентификации нужно устранить немедленно, а при наличии внешней доступности или подозрительной активности — расследовать как возможный взлом. 1
3
48
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «CVE-2026-76460 в Cisco ISE: предавторизационный захват системы с правами root»?
CVE 2026 76460 — активно эксплуатируемая уязвимость CVSS 10,0 в Cisco ISE и ISE PIC: специально сформированный запрос к API позволяет обойти аутентификацию и получить выполнение команд с правами root.
Какие ключевые моменты необходимо проверить в первую очередь?
CVE 2026 76460 — активно эксплуатируемая уязвимость CVSS 10,0 в Cisco ISE и ISE PIC: специально сформированный запрос к API позволяет обойти аутентификацию и получить выполнение команд с правами root. CISA внесло уязвимость в каталог KEV 16 сентября 2026 года; для гражданских федеральных ведомств США был установлен срок устранения до 19 сентября.
Что мне делать дальше на практике?
Одной установки патча может быть недостаточно: подозрительные или потенциально доступные извне узлы следует рассматривать как инцидент, сохранить артефакты, проверить журналы и при признаках компрометации развернуть з...