คำตอบเผยแพร่แล้ว2 เดือนที่ผ่านมาLast edited 2 เดือนที่ผ่านมา22 แหล่งที่มา

CVE-2026-76460: ช่องโหว่ Cisco ISE ระดับ CVSS 10 ที่ข้ามการยืนยันตัวตนและยึดสิทธิ์ root ได้

CVE 2026 76460 เป็นช่องโหว่ CVSS 10.0 ใน Cisco ISE และ ISE PIC: คำขอ API ที่สร้างขึ้นเป็นพิเศษอาจข้ามการยืนยันตัวตนและนำไปสู่การรันคำสั่งระดับ root ได้ โดยไม่ต้องมีข้อมูลล็อกอินหรือการโต้ตอบจากผู้ใช้ Cisco เปิดเผยว่าช่องโหว่นี้กำลังถูกใช้โจมตีเมื่อวันที่ 16 กันยายน 2026 ขณะที่ CISA เพิ่มเข้า KEV Catalog ในวันเดียวกั...

เผยแพร่โดยแก้ไขด้วย GPT-5.6 Terraรูปภาพสร้างด้วย GPT Image 2

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI ดูหน้าที่กำลังมาแรงเพิ่มเติม

คำตอบการวิจัย

ประเด็นสำคัญ

CVE 2026 76460 เป็นช่องโหว่ CVSS 10.0 ใน Cisco ISE และ ISE PIC: คำขอ API ที่สร้างขึ้นเป็นพิเศษอาจข้ามการยืนยันตัวตนและนำไปสู่การรันคำสั่งระดับ root ได้ โดยไม่ต้องมีข้อมูลล็อกอินหรือการโต้ตอบจากผู้ใช้
Cisco เปิดเผยว่าช่องโหว่นี้กำลังถูกใช้โจมตีเมื่อวันที่ 16 กันยายน 2026 ขณะที่ CISA เพิ่มเข้า KEV Catalog ในวันเดียวกัน และกำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แก้ไขภายใน 19 กันยายน
ไม่มีวิธีบรรเทาที่แก้ปัญหาต้นเหตุได้ ต้องติดตั้งซอฟต์แวร์ที่แก้ไขแล้ว; หากพบความเสี่ยงหรือสัญญาณผิดปกติ ควรรับมือเสมือนเหตุการณ์ด้านความปลอดภัย ไม่ใช่เพียงงานติดแพตช์

Editorial illustration of a critical Cisco ISE security vulnerability and network access controls — What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) andCVE-2026-76460 affects Cisco ISE and ISE-PIC and has been added to CISA's Known Exploited Vulnerabilities catalog. [1]
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
openai.com

Cisco ISE และ ISE Passive Identity Connector (ISE-PIC) ควรถูกยกระดับเป็นงานเร่งด่วนที่สุด หากองค์กรยังใช้เวอร์ชันที่มีช่องโหว่ CVE-2026-76460 เพราะเป็นซีโรเดย์ที่มีรายงานการโจมตีจริงแล้ว และกระทบระบบจัดการตัวตนกับการควบคุมสิทธิ์เข้าถึงเครือข่ายโดยตรง

ช่องโหว่นี้อยู่ใน API ของผลิตภัณฑ์ ผู้โจมตีระยะไกลที่ ไม่ต้องยืนยันตัวตน สามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษเพื่อข้ามการตรวจสอบสิทธิ์ของหน้าจัดการผ่านเว็บได้ รายงานระบุว่าการโจมตีสำเร็จอาจทำให้รันคำสั่งบนอุปกรณ์ด้วยสิทธิ์ root ได้ 1 3 40 48

เหตุใดจึงเป็นเหตุฉุกเฉิน

CVE-2026-76460 มีคะแนน CVSS 10.0 ซึ่งเป็นระดับสูงสุด และกระทบ Cisco ISE กับ ISE-PIC โดยไม่ขึ้นกับการตั้งค่าอุปกรณ์ ผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้ ไม่ต้องอาศัยการคลิกลิงก์หรือการกระทำจากผู้ใช้ เพียงส่งคำขอไปยัง API ที่มีช่องโหว่ก็อาจข้ามการควบคุมการเข้าถึงได้ 1 3 40

Cisco เปิดเผยการโจมตีที่กำลังเกิดขึ้นเมื่อวันที่ 16 กันยายน 2026 และ CISA ซึ่งเป็นหน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ ได้เพิ่มรายการนี้ใน Known Exploited Vulnerabilities (KEV) Catalog ในวันเดียวกัน โดยกำหนดเส้นตาย 19 กันยายนสำหรับหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ ในการแก้ไข 1 9 15

ไม่มี workaround ที่กำจัดช่องโหว่ต้นเหตุได้ การติดตั้งซอฟต์แวร์ Cisco เวอร์ชันที่แก้ไขแล้วจึงเป็นแนวทางแก้ไขสำหรับรีลีสที่ยังได้รับการสนับสนุน 2 16

ความหมายของการข้ามการยืนยันตัวตนบน ISE

Cisco ISE เป็นแพลตฟอร์มสำหรับจัดการตัวตนและควบคุมการเข้าถึงเครือข่าย ดังนั้นการถูกยึดระบบอาจกระทบจุดควบคุมสำคัญขององค์กร ปัญหาทางเทคนิคคือ API มีการควบคุมการยืนยันตัวตนไม่เพียงพอ ทำให้คำขอที่สร้างขึ้นมาเป็นพิเศษสามารถหลบเลี่ยงการตรวจสอบที่ควรมีได้ 1 40

ผลกระทบที่รายงานไม่ได้จำกัดแค่การเข้าหน้าจัดการ ผู้โจมตีที่ไม่ได้รับอนุญาตอาจได้รับสิทธิ์รันคำสั่งระดับ root ซึ่งหมายถึงอาจควบคุม appliance หรือ virtual node ที่ได้รับผลกระทบได้ 3 48

องค์กรที่เปิดให้เข้าถึงอินเทอร์เฟซจัดการหรือ API ของ ISE จากเครือข่ายที่ไม่น่าเชื่อถือ หรือจากเครือข่ายภายในที่เข้าถึงได้กว้าง ควรถือว่าเรื่องนี้อาจเป็นเหตุการณ์ตอบสนองต่อการบุกรุก อย่างไรก็ดี ข้อมูลสาธารณะที่มีอยู่ยัง ไม่ได้ ระบุผู้โจมตี ขอบเขตเหยื่อ เครื่องมือโจมตี วันที่เริ่มโจมตี หรือกิจกรรมหลังการยึดระบบที่ยืนยันได้ 1 15

เวอร์ชันที่แก้ไขแล้ว

สายรีลีส	เวอร์ชันแรกที่แก้ไขแล้ว
ISE / ISE-PIC 3.1	3.1 Patch 12
ISE / ISE-PIC 3.2	3.2 Patch 11
ISE / ISE-PIC 3.3	3.3 Patch 12
ISE / ISE-PIC 3.4	3.4 Patch 7
ISE / ISE-PIC 3.5	3.5 Patch 4

3 13 48

ผู้ที่ใช้ ISE 3.0 ต้องวางแผนย้ายไปยังรีลีสที่ยังได้รับการสนับสนุน เพราะ 3.0 สิ้นสุดการบำรุงรักษาซอฟต์แวร์แล้วและจะไม่ได้รับแพตช์นี้ การจำกัดการเข้าถึงส่วนจัดการและ API ช่วยลดการเปิดรับความเสี่ยงระหว่างการย้ายระบบได้ แต่ไม่ใช่สิ่งทดแทนการย้ายไปยังเวอร์ชันที่แก้ไขแล้ว 2 16 48

แผนรับมือที่ควรทำทันที

1. สำรวจทุก node และอัปเดตระบบที่ยังรองรับ

จัดทำรายการ ISE และ ISE-PIC ทุก node รวมถึง administration, policy-service, monitoring และ passive-identity node ตรวจสอบทั้งหมายเลขรีลีสและ patch level จากนั้นอัปเกรดระบบที่ยังรองรับเป็นเวอร์ชันที่แก้ไขแล้ว หรือเวอร์ชันที่ใหม่กว่า 3 13

2. เก็บหลักฐานก่อนเปลี่ยนแปลงระบบ

หากไม่กระทบการดำเนินงานมากเกินไป ให้เก็บ log ที่เกี่ยวข้อง สถานะระบบและเครือข่าย ข้อมูลการตั้งค่า และ support bundle ที่ผู้ผลิตรองรับ ก่อนแพตช์หรือสร้างระบบใหม่ รายการ KEV ของ CISA ระบุให้หน่วยงานปฏิบัติตามข้อกำหนดด้านการคัดกรองนิติวิทยาศาสตร์ควบคู่กับแนวทางแก้ไขของผู้ผลิต 1

3. ตรวจหาสัญญาณการเข้าถึงโดยไม่ได้รับอนุญาต

ตรวจสอบบันทึกการใช้งานและ audit สำหรับผู้ดูแลของ ISE โดยเน้น API activity ที่ผิดปกติ เหตุการณ์ authentication การเพิ่มหรือเปลี่ยนผู้ดูแล การเปลี่ยนนโยบาย ใบรับรอง การ export configuration และการแก้ไข repository

ควรเชื่อมโยงเหตุการณ์เหล่านี้กับข้อมูลจาก firewall, VPN, reverse proxy หรือ load balancer, DNS, EDR และ network flow โดยมองหาการเชื่อมต่อสู่ ISE management interface หรือทราฟฟิกขาออกที่ผิดปกติจาก node ของ ISE ตรวจสอบช่วงเวลาก่อนแพตช์จนถึงปัจจุบัน หน้าจัดการที่ดูปกติไม่ใช่หลักฐานเพียงพอว่าระบบไม่เคยถูกเข้าถึง โดยเฉพาะเมื่อผลกระทบที่รายงานรวมถึงการรันคำสั่งระดับ root 3 48

4. สร้าง node ใหม่เมื่อมีเหตุอันควรสงสัยว่าถูกยึดระบบ

การแพตช์ปิดช่องทางโจมตี แต่ไม่ได้ยืนยันว่าเครื่องที่อาจถูกเจาะไปก่อนหน้านี้สะอาดแล้ว หากพบหลักฐานการโจมตี การเปลี่ยนแปลงระดับ root ที่อธิบายไม่ได้ process, ไฟล์ หรือการเชื่อมต่อที่น่าสงสัย trust material ที่ถูกแก้ไข หรือการเปลี่ยนการตั้งค่าที่ไม่ทราบสาเหตุ ควร reimage หรือ rebuild node แทนการแพตช์อย่างเดียว

กู้คืนจาก backup ที่ตรวจสอบแล้วว่าสร้างก่อนช่วงเวลาที่สงสัยว่าถูกบุกรุก ติดตั้งรีลีสที่แก้ไขแล้วก่อนนำระบบกลับเข้าต่อเครือข่าย และหมุนเวียนรหัสผ่านหรือ secret ที่อาจจัดเก็บอยู่บน node หรือเข้าถึงได้ผ่าน node นั้น ซึ่งอาจรวมถึงบัญชีผู้ดูแล ISE, credential สำหรับ API และ repository, รวมถึงใบรับรองหรือกุญแจที่อาจรั่วไหล

ต่างจาก CVE-2026-76461 อย่างไร

CVE-2026-76460 เป็นซีโรเดย์ Cisco รายการที่สองในสัปดาห์นั้นที่มีการโจมตีจริง อีกช่องโหว่คือ CVE-2026-76461 ซึ่งเป็น SQL injection ระดับ CVSS 9.8 ในกระบวนการแยกวิเคราะห์อีเมลของ Cisco AsyncOS สำหรับ Cisco Secure Email Gateway ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถส่งอีเมลที่สร้างขึ้นเป็นพิเศษและมีคำสั่ง SQL อันตรายผ่าน gateway ที่มีช่องโหว่ จนนำไปสู่การรันคำสั่งระดับ root ได้ 33 44

จุดเริ่มต้นของการโจมตีต่างกันดังนี้

CVE-2026-76460: คำขอที่สร้างขึ้นเป็นพิเศษส่งไปยัง API endpoint ของ ISE หรือ ISE-PIC เพื่อข้ามการยืนยันตัวตน 1 40
CVE-2026-76461: เนื้อหาอีเมลอันตรายไปกระตุ้นตรรกะการประมวลผลอีเมลของ Cisco Secure Email Gateway 33

ทั้งสองกรณีมีความเร่งด่วนสูง เพราะมีรายงานการโจมตีจริง เข้าถึงได้จากระยะไกล และอาจนำไปสู่สิทธิ์ root โดยไม่ต้องผ่านการยืนยันตัวตน 15 33 44

หลักฐานที่มีระบุ Cisco Secure Email Gateway โดยตรงว่าเป็นผลิตภัณฑ์ที่ได้รับผลกระทบจาก CVE-2026-76461 แม้รายงานบางแห่งกล่าวถึง Cisco Secure Email and Web Manager ใน advisory ของผลิตภัณฑ์อีเมล Cisco ที่กว้างกว่า แต่การวางแผนแพตช์ควรยึด advisory และคำแนะนำเวอร์ชันของ Cisco สำหรับผลิตภัณฑ์ที่องค์กรติดตั้งใช้งานแต่ละรายการ 33 41

สิ่งที่ยังไม่เป็นที่ทราบ

ยืนยันแล้วว่ามีการโจมตีจริงและความรุนแรงอยู่ในระดับสูงสุด แต่รายละเอียดเชิงปฏิบัติการหลายอย่างยังไม่ถูกเปิดเผยต่อสาธารณะ รวมถึงผู้ที่อยู่เบื้องหลัง จำนวนองค์กรที่ได้รับผลกระทบ จุดเริ่มต้นของการโจมตี เครื่องมือที่ใช้ และสิ่งที่ผู้โจมตีทำหลังเข้าถึงระบบ 1 15

รายงานเรื่องการสแกนระบบหลังการเปิดเผยช่องโหว่เป็นเหตุผลเพิ่มเติมให้เร่งแก้ไข แต่หลักฐานที่มีไม่เพียงพอสำหรับประเมินปริมาณการสแกนอย่างน่าเชื่อถือหรือระบุว่าเป็นฝีมือของกลุ่มใด ข้อสรุปที่ยืนยันได้จึงตรงไปตรงมา: ช่องโหว่ข้ามการยืนยันตัวตนระดับสูงสุดในระบบโครงสร้างพื้นฐานด้านตัวตน ซึ่งไม่มี workaround และกำลังถูกโจมตีจริง ควรได้รับการแพตช์ทันที พร้อมตรวจสอบการบุกรุกเมื่อระบบเคยเปิดรับความเสี่ยงหรือมีสัญญาณผิดปกติ 1 3 48

Studio Global AI

ทำการวิจัยต่อ

หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI

คนยังถาม

คำตอบสั้น ๆ สำหรับ "CVE-2026-76460: ช่องโหว่ Cisco ISE ระดับ CVSS 10 ที่ข้ามการยืนยันตัวตนและยึดสิทธิ์ root ได้" คืออะไร

ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?

ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?

ไม่มีวิธีบรรเทาที่แก้ปัญหาต้นเหตุได้ ต้องติดตั้งซอฟต์แวร์ที่แก้ไขแล้ว; หากพบความเสี่ยงหรือสัญญาณผิดปกติ ควรรับมือเสมือนเหตุการณ์ด้านความปลอดภัย ไม่ใช่เพียงงานติดแพตช์

แหล่งที่มา