AnswersPublished22 sources
Cisco ISE-felet CVE-2026-76460 utnyttjas aktivt – CVSS 10 kräver omedelbar åtgärd
CVE 2026 76460 är en aktivt utnyttjad CVSS 10.0 sårbarhet i Cisco ISE och ISE PIC. CISA lade till sårbarheten i sin KEV katalog den 16 september 2026 och satte den 19 september som åtgärdsdatum för amerikanska federala civila myndigheter.
Publicerad avRedigerad med GPT-5.6 TerraBilder genererade med GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 är en aktivt utnyttjad CVSS 10.0 sårbarhet i Cisco ISE och ISE PIC.
- CISA lade till sårbarheten i sin KEV katalog den 16 september 2026 och satte den 19 september som åtgärdsdatum för amerikanska federala civila myndigheter.
- Behandla exponerade eller misstänkta ISE noder som en incident: säkra bevis, granska loggar och bygg om system där kompromettering inte kan uteslutas.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 är ovanligt allvarlig eftersom den träffar identitetsinfrastruktur och redan utnyttjas i aktiva angrepp. Sårbarheten finns i Cisco Identity Services Engine (ISE) och ISE Passive Identity Connector (ISE-PIC). En oautentiserad fjärrangripare kan skicka en särskilt utformad begäran till en sårbar API-slutpunkt och kringgå autentiseringen. Vid lyckad exploatering kan angriparen få möjlighet att köra kommandon med root-behörighet på den berörda enheten. 1
3
48
Varför detta är akut
Sårbarheten har CVSS 10,0, högsta möjliga betyg, och påverkar ISE och ISE-PIC oavsett enhetskonfiguration. Angreppet kräver varken giltiga inloggningsuppgifter eller användarinteraktion: en manipulerad begäran mot API-slutpunkten kan kringgå det webbaserade administrationsgränssnittets åtkomstkontroller. 1
3
40
Cisco offentliggjorde aktiv exploatering den 16 september 2026. Samma dag lade den amerikanska cybersäkerhetsmyndigheten CISA till CVE-2026-76460 i katalogen Known Exploited Vulnerabilities (KEV). För amerikanska federala civila myndigheter sattes den 19 september som deadline för åtgärd. 1
9
15
Det finns ingen tillfällig åtgärd som eliminerar grundfelet. För versioner som fortfarande stöds är Ciscos korrigerade programvara den faktiska lösningen. 2
16
Vad ett autentiseringsbypass innebär för ISE
ISE är en plattform för nätverksidentitet och åtkomstkontroll. Ett intrång kan därför drabba en central kontrollpunkt i organisationens nätverk. Det direkta tekniska problemet är bristande autentiseringskontroll vid en API-slutpunkt, vilket gör att en angripare kan passera avsedda åtkomstkontroller. 1
40
Konsekvensen stannar inte vid åtkomst till administrationsgränssnittet. För CVE-2026-76460 uppges en oautentiserad angripare kunna få kommandokörning med root-behörighet, alltså i praktiken kontroll över den berörda appliance- eller virtuella noden. 3
48
Det bör behandlas som en möjlig incident, särskilt när ISE:s administrations- eller API-gränssnitt kan nås från opålitliga nätverk eller från stora interna nätsegment. Offentlig rapportering bekräftar aktiv exploatering, men identifierar inte angriparna, omfattningen av drabbade organisationer, exploitverktyg, datumet för den första exploateringen eller bekräftad aktivitet efter intrånget. 1
15
Korrigerade versioner av Cisco ISE och ISE-PIC
Ciscos första versioner med rättningen är:
| Versionsgren | Första korrigerade version |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organisationer som kör ISE 3.0 behöver planera en migrering till en version som stöds. Version 3.0 har nått slutet av sin programvaruunderhållsperiod och får ingen rättning. Att begränsa exponeringen av administration och API:er kan minska risken under migreringen, men ersätter inte en uppgradering till en korrigerad och stödd version. 2
16
48
Praktisk åtgärdsplan
1. Identifiera samtliga noder och patcha stödda installationer
Inventera alla ISE- och ISE-PIC-installationer, inklusive administrations-, policy service-, övervaknings- och passive identity-noder. Kontrollera både versionsgren och patchnivå, och uppgradera stödda system till relevant första korrigerade version eller senare. 3
13
2. Säkra bevis före större förändringar
Om verksamheten tillåter det bör relevanta loggar, system- och nätverksstatus, konfiguration samt ett leverantörsstött supportpaket samlas in innan patchning eller ominstallation. CISA:s KEV-post hänvisar myndigheter till krav för forensisk triage parallellt med leverantörens åtgärdsanvisningar. 1
3. Leta efter tecken på obehörig åtkomst
Granska ISE:s applikations- och administrativa granskningsloggar för oväntad API-aktivitet, autentiseringshändelser, ändrade administratörer, policyändringar, certifikatändringar, konfigurationsexporter och ändringar av repositories. Korrelera händelserna med telemetri från brandväggar, VPN, reverse proxy eller lastbalanserare, DNS, EDR och nätverksflöden – särskilt anslutningar till ISE:s administrationsgränssnitt eller ovanlig utgående trafik.
Sök från perioden före patchning fram till i dag. Att webbgränssnittet ser normalt ut är inte ett tillräckligt bevis för att systemet aldrig har nåtts, särskilt eftersom den rapporterade effekten omfattar root-körning. 3
48
4. Bygg om noder som kan ha komprometterats
En patch stänger den sårbara ingången, men bevisar inte att en tidigare komprometterad värd är ren. Bygg om, i stället för att bara patcha, en nod där det finns tecken på exploatering, oförklarliga ändringar på root-nivå, misstänkta processer, filer eller anslutningar, ändrat förtroendematerial eller konfigurationsförändringar som inte kan förklaras.
Återställ endast från en säkerhetskopia som har verifierats vara äldre än den misstänkta komprometteringsperioden. Installera den korrigerade versionen före återanslutning och byt ut inloggningsuppgifter eller hemligheter som kan ha lagrats på eller varit åtkomliga från noden. Det kan omfatta ISE-administratörskonton, API- och repository-uppgifter samt eventuellt exponerade certifikat eller nycklar.
Jämförelse med CVE-2026-76461
CVE-2026-76460 var Ciscos andra aktivt utnyttjade nolldagssårbarhet som offentliggjordes den veckan. Den andra, CVE-2026-76461, är en SQL-injektionssårbarhet med CVSS 9,8 i Cisco AsyncOS e-posttolkning för Cisco Secure Email Gateway. En oautentiserad fjärrangripare kan skicka ett manipulerat e-postmeddelande med skadliga SQL-satser genom en sårbar gateway, vilket potentiellt leder till kommandokörning med root-behörighet. 33
44
Angreppsvägarna skiljer sig åt:
- CVE-2026-76460: en manipulerad begäran till ett ISE- eller ISE-PIC-API kringgår autentisering.
1
40
- CVE-2026-76461: skadligt e-postinnehåll når sårbar e-posttolkningslogik i Cisco Secure Email Gateway.
33
Båda är särskilt brådskande eftersom de rapporteras vara aktivt utnyttjade, nåbara på distans och kan ge root-kontroll utan föregående autentisering. 15
33
44
Tillgängligt underlag bekräftar direkt Cisco Secure Email Gateway som berörd produkt för CVE-2026-76461. Vissa rapporter nämner även Cisco Secure Email and Web Manager i bredare rådgivningar för Ciscos e-postprodukter, men patchplanering bör utgå från Ciscos produktspecifika rådgivning och versionsanvisningar för varje installerad produkt. 33
41
Det som fortfarande är okänt
Aktiv exploatering och den tekniska allvarlighetsgraden är bekräftade, men flera operativa detaljer är offentligt okända. Ciscos offentliga information och samtida rapportering fastställer inte vem som ligger bakom aktiviteten, hur många organisationer som drabbats, när exploateringen började, vilka verktyg som användes eller vad angriparna gjorde efter att de fått åtkomst. 1
15
Rapporter om scanning efter offentliggörandet är ytterligare ett skäl att skynda på åtgärderna, men underlaget här räcker inte för en tillförlitlig uppskattning av omfattningen eller för att knyta den till en viss aktör. Den rimliga slutsatsen är enkel: ett aktivt utnyttjat autentiseringsbypass med maximal allvarlighetsgrad, utan workaround, i identitetsinfrastruktur ska patchas omedelbart och utredas när exponering eller misstänkt aktivitet gör en kompromettering möjlig. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Cisco ISE-felet CVE-2026-76460 utnyttjas aktivt – CVSS 10 kräver omedelbar åtgärd"?
CVE 2026 76460 är en aktivt utnyttjad CVSS 10.0 sårbarhet i Cisco ISE och ISE PIC.
What are the key points to validate first?
CVE 2026 76460 är en aktivt utnyttjad CVSS 10.0 sårbarhet i Cisco ISE och ISE PIC. CISA lade till sårbarheten i sin KEV katalog den 16 september 2026 och satte den 19 september som åtgärdsdatum för amerikanska federala civila myndigheter.
What should I do next in practice?
Behandla exponerade eller misstänkta ISE noder som en incident: säkra bevis, granska loggar och bygg om system där kompromettering inte kan uteslutas.