Câu trả lờiĐã xuất bản22 nguồn
CVE-2026-76460 trên Cisco ISE: Lỗ hổng CVSS 10 bị khai thác có thể dẫn tới quyền root
CVE 2026 76460 là lỗ hổng CVSS 10,0 đang bị khai thác trên Cisco ISE và ISE PIC; yêu cầu API được tạo đặc biệt có thể vượt qua xác thực và dẫn tới thực thi lệnh với quyền root mà không cần thông tin đăng nhập hay tươn... CISA đã đưa lỗ hổng vào danh mục KEV ngày 16/9/2026 và yêu cầu các cơ quan dân sự liên bang Mỹ k...
Đăng bởiBiên tập bằng GPT-5.6 TerraHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- CVE 2026 76460 là lỗ hổng CVSS 10,0 đang bị khai thác trên Cisco ISE và ISE PIC; yêu cầu API được tạo đặc biệt có thể vượt qua xác thực và dẫn tới thực thi lệnh với quyền root mà không cần thông tin đăng nhập hay tươn...
- CISA đã đưa lỗ hổng vào danh mục KEV ngày 16/9/2026 và yêu cầu các cơ quan dân sự liên bang Mỹ khắc phục trước ngày 19/9/2026.
- Không có biện pháp khắc phục tạm thời thay thế bản vá. Các nút có dấu hiệu đáng ngờ hoặc từng bị phơi lộ cần được xử lý như một sự cố an ninh: bảo toàn chứng cứ, điều tra và dựng lại nếu không thể xác nhận hệ thống sạch.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 đặc biệt nghiêm trọng vì nhắm vào hạ tầng quản lý danh tính và kiểm soát truy cập mạng, đồng thời đã bị khai thác thực tế. Lỗ hổng ảnh hưởng đến Cisco Identity Services Engine (ISE) và ISE Passive Identity Connector (ISE-PIC). Kẻ tấn công từ xa không cần xác thực có thể gửi yêu cầu được tạo đặc biệt tới một điểm cuối API dễ tổn thương để vượt qua cơ chế xác thực. Theo các báo cáo về tác động, khai thác thành công có thể cho phép thực thi lệnh với quyền root trên thiết bị bị ảnh hưởng. 1
3
48
Vì sao đây là tình huống khẩn cấp
Lỗ hổng được chấm CVSS 10,0 — mức điểm tối đa — và ảnh hưởng đến ISE cùng ISE-PIC bất kể cấu hình thiết bị. Việc khai thác không cần thông tin đăng nhập hoặc tương tác của người dùng: kẻ tấn công chỉ cần gửi một yêu cầu được tạo đặc biệt đến API bị ảnh hưởng để vượt qua giao diện quản trị nền web. 1
3
40
Cisco công bố tình trạng khai thác chủ động vào ngày 16/9/2026. Cùng ngày, CISA — Cơ quan An ninh mạng và Hạ tầng Mỹ — thêm CVE-2026-76460 vào danh mục Known Exploited Vulnerabilities (KEV), tức danh mục các lỗ hổng đã biết đang bị khai thác. Hạn khắc phục dành cho các cơ quan dân sự liên bang Mỹ là 19/9/2026. 1
9
15
Không có biện pháp khắc phục tạm thời nào loại bỏ được nguyên nhân gốc của lỗ hổng. Với các bản phát hành còn được hỗ trợ, cài phần mềm đã được Cisco vá là cách khắc phục cần thiết. 2
16
Vượt qua xác thực trên ISE nguy hiểm thế nào?
ISE là nền tảng quản lý danh tính và kiểm soát truy cập mạng. Vì vậy, một sự cố xâm nhập thành công có thể đặt một thành phần kiểm soát quan trọng của hệ thống vào rủi ro. Vấn đề kỹ thuật trực tiếp nằm ở cơ chế xác thực API không đủ chặt chẽ, cho phép yêu cầu được tạo đặc biệt vượt qua các kiểm tra truy cập dự kiến. 1
40
Tác động được báo cáo không chỉ dừng ở việc truy cập giao diện quản trị. Kẻ tấn công không cần xác thực có thể đạt quyền thực thi lệnh cấp root, tức có khả năng kiểm soát thiết bị hoặc nút ảo bị ảnh hưởng. 3
48
Do đó, tổ chức có ISE dễ tổn thương nên coi đây là sự kiện cần ứng phó sự cố, nhất là khi giao diện quản trị hoặc API của ISE có thể truy cập từ mạng không tin cậy hay các phân đoạn nội bộ quá rộng. Thông tin công khai xác nhận lỗ hổng đang bị khai thác, nhưng chưa nêu danh tính kẻ tấn công, phạm vi nạn nhân, công cụ khai thác, thời điểm khai thác đầu tiên hoặc hoạt động sau xâm nhập đã được xác nhận. 1
15
Bản phát hành Cisco ISE và ISE-PIC đã vá
Các bản vá đầu tiên theo từng nhánh phát hành là:
| Nhánh phát hành | Bản đã vá đầu tiên |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Tổ chức đang vận hành ISE 3.0 cần lập kế hoạch chuyển sang phiên bản còn được hỗ trợ. Nhánh 3.0 đã hết thời hạn bảo trì phần mềm và sẽ không nhận bản vá. Trong lúc chuyển đổi, việc siết chặt khả năng truy cập vào giao diện quản trị và API có thể giảm mức phơi lộ, nhưng không thể thay thế việc nâng cấp lên phiên bản đã được vá. 2
16
48
Kế hoạch ứng phó thực tế
1. Xác định toàn bộ nút bị ảnh hưởng và vá ngay các hệ thống còn hỗ trợ
Lập kiểm kê mọi triển khai ISE và ISE-PIC, bao gồm các nút quản trị, dịch vụ chính sách, giám sát và nhận diện thụ động. Kiểm tra cả phiên bản phát hành lẫn cấp độ bản vá đang cài, sau đó nâng cấp hệ thống được hỗ trợ lên bản vá đầu tiên phù hợp hoặc mới hơn. 3
13
2. Bảo toàn chứng cứ trước khi thực hiện thay đổi lớn
Nếu điều kiện vận hành cho phép, hãy thu thập log liên quan, trạng thái hệ thống và mạng, thông tin cấu hình, cũng như gói hỗ trợ theo hướng dẫn của nhà cung cấp trước khi vá hoặc dựng lại. Mục KEV của CISA yêu cầu các cơ quan thực hiện yêu cầu phân loại phục vụ điều tra pháp chứng song song với hướng dẫn khắc phục của nhà cung cấp. 1
3. Điều tra dấu hiệu truy cập trái phép
Rà soát nhật ký ứng dụng và nhật ký kiểm toán quản trị của ISE để tìm hoạt động API bất thường, sự kiện xác thực, thay đổi tài khoản quản trị, chính sách, chứng chỉ, xuất cấu hình hoặc sửa đổi kho lưu trữ. Đối chiếu các sự kiện này với dữ liệu từ tường lửa, VPN, reverse proxy hoặc load balancer, DNS, EDR và dữ liệu luồng mạng, tập trung vào kết nối đến giao diện quản trị ISE hoặc lưu lượng đi ra bất thường.
Nên tìm kiếm trong khoảng thời gian trước khi vá cho đến hiện tại. Một giao diện web trông có vẻ bình thường không đủ để chứng minh hệ thống chưa từng bị truy cập, đặc biệt khi tác động được báo cáo bao gồm thực thi lệnh cấp root. 3
48
4. Dựng lại các hệ thống có khả năng đã bị xâm nhập
Bản vá đóng điểm xâm nhập dễ tổn thương, nhưng tự nó không chứng minh máy chủ đã từng bị xâm nhập là sạch. Nên dựng lại thay vì chỉ vá một nút nếu có bằng chứng khai thác; thay đổi cấp root không giải thích được; tiến trình, tệp hay kết nối đáng ngờ; thay đổi vật liệu tin cậy; hoặc thay đổi cấu hình không thể lý giải.
Chỉ khôi phục từ bản sao lưu đã được xác nhận là có trước giai đoạn nghi ngờ bị xâm nhập; áp dụng bản phát hành đã vá trước khi kết nối lại hệ thống. Đồng thời luân chuyển các thông tin xác thực hoặc bí mật có thể được lưu trên, hay có thể truy cập từ, nút bị ảnh hưởng. Điều này có thể gồm tài khoản quản trị ISE, thông tin xác thực API và kho lưu trữ, cũng như chứng chỉ hoặc khóa có nguy cơ lộ lọt.
So sánh với CVE-2026-76461
CVE-2026-76460 là zero-day thứ hai của Cisco được công bố đang bị khai thác trong tuần đó. Lỗ hổng còn lại, CVE-2026-76461, là lỗi SQL injection CVSS 9,8 trong cơ chế phân tích email của Cisco AsyncOS dành cho Cisco Secure Email Gateway. Kẻ tấn công từ xa không cần xác thực có thể gửi email được tạo đặc biệt chứa các câu lệnh SQL độc hại qua cổng email dễ tổn thương, từ đó có khả năng thực thi lệnh với quyền root. 33
44
Hai lỗ hổng có điểm xâm nhập khác nhau:
- CVE-2026-76460: yêu cầu được tạo đặc biệt gửi đến API ISE hoặc ISE-PIC có thể vượt qua xác thực.
1
40
- CVE-2026-76461: nội dung email độc hại đi vào logic phân tích email dễ tổn thương của Cisco Secure Email Gateway.
33
Cả hai đều cần được ưu tiên cao vì được báo cáo là đang bị khai thác, có thể truy cập từ xa và có khả năng đem lại quyền root mà không cần xác thực trước. 15
33
44
Thông tin hiện có xác nhận trực tiếp Cisco Secure Email Gateway là sản phẩm bị ảnh hưởng bởi CVE-2026-76461. Một số báo cáo cũng liệt kê Cisco Secure Email and Web Manager trong các cảnh báo rộng hơn về sản phẩm email Cisco, nhưng kế hoạch vá phải dựa vào khuyến nghị sản phẩm và bản phát hành cụ thể của Cisco đối với từng hệ thống đang triển khai. 33
41
Những điều vẫn chưa được biết
Tình trạng khai thác chủ động và mức độ nghiêm trọng kỹ thuật đã được xác nhận, nhưng nhiều chi tiết vận hành vẫn chưa công khai. Các công bố của Cisco và báo cáo đương thời không xác định bên đứng sau hoạt động này, số lượng tổ chức bị ảnh hưởng, thời điểm khai thác bắt đầu, công cụ được sử dụng hoặc hành động của kẻ tấn công sau khi có quyền truy cập. 1
15
Các báo cáo về hoạt động quét sau khi công bố là thêm một lý do để đẩy nhanh khắc phục, nhưng bằng chứng hiện có không đủ để ước tính đáng tin cậy quy mô quét hoặc quy kết hoạt động đó cho một tác nhân cụ thể. Kết luận có cơ sở là: một lỗ hổng vượt qua xác thực đang bị khai thác, đạt CVSS tối đa, không có biện pháp thay thế bản vá và nằm trong hạ tầng danh tính phải được vá ngay; đồng thời cần điều tra nếu hệ thống từng bị phơi lộ hoặc có hoạt động đáng ngờ. 1
3
48
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "CVE-2026-76460 trên Cisco ISE: Lỗ hổng CVSS 10 bị khai thác có thể dẫn tới quyền root" là gì?
CVE 2026 76460 là lỗ hổng CVSS 10,0 đang bị khai thác trên Cisco ISE và ISE PIC; yêu cầu API được tạo đặc biệt có thể vượt qua xác thực và dẫn tới thực thi lệnh với quyền root mà không cần thông tin đăng nhập hay tươn...
Những điểm chính cần xác nhận đầu tiên là gì?
CVE 2026 76460 là lỗ hổng CVSS 10,0 đang bị khai thác trên Cisco ISE và ISE PIC; yêu cầu API được tạo đặc biệt có thể vượt qua xác thực và dẫn tới thực thi lệnh với quyền root mà không cần thông tin đăng nhập hay tươn... CISA đã đưa lỗ hổng vào danh mục KEV ngày 16/9/2026 và yêu cầu các cơ quan dân sự liên bang Mỹ khắc phục trước ngày 19/9/2026.
Tôi nên làm gì tiếp theo trong thực tế?
Không có biện pháp khắc phục tạm thời thay thế bản vá. Các nút có dấu hiệu đáng ngờ hoặc từng bị phơi lộ cần được xử lý như một sự cố an ninh: bảo toàn chứng cứ, điều tra và dựng lại nếu không thể xác nhận hệ thống sạch.