为什么这不是一次普通补丁更新

CVE-2026-76460 影响 Cisco Identity Services Engine（ISE，思科身份服务引擎）及 ISE Passive Identity Connector（ISE-PIC）。漏洞位于 API 端点的认证控制：远程攻击者无需登录凭据，只要向受影响端点发送构造请求，就可能绕过原有认证检查并进入 Web 管理面。Cisco 的相关信息显示，成功利用可使攻击者在设备上以 Root 权限执行命令。134048

其严重性在于几个因素同时出现：

• CVSS 评分为 10.0，即最高等级；
• 不需要有效账号、不需要用户点击或其他交互；
• ISE 和 ISE-PIC 的受影响范围不取决于设备配置；
• 漏洞披露时已确认存在在野利用；
• 没有能够消除根本风险的临时缓解措施，支持版本只能通过安装修复软件解决。12316

Cisco 于 2026 年 9 月 16 日披露该漏洞遭积极利用。美国网络安全和基础设施安全局（CISA）同日将其加入“已知遭利用漏洞”（KEV）目录，并为美国联邦民用机构设定 9 月 19 日的修复期限。1915

ISE 被攻破意味着什么

ISE 是网络身份与访问控制平台，通常处于接入认证和策略执行的关键位置。此次问题的直接原因是 API 端点认证控制不足，攻击者可藉构造请求绕过预期的访问检查。140

风险不止于查看管理页面。公开报道所述影响是：未认证远程攻击者可能取得 Root 级命令执行，进而控制受影响的硬件设备或虚拟节点。348

因此，凡是管理界面或 API 可从不受信任网络访问、或在内部网段中暴露范围较广的 ISE 部署，都应被优先纳入应急响应。公开资料确认了漏洞正在被利用，但尚未披露攻击者身份、受害组织规模、利用工具、首次利用时间，以及入侵后的确切活动。115

各版本首个修复版本

ISE / ISE-PIC 分支	首个修复版本
3.1	3.1 Patch 12
3.2	3.2 Patch 11
3.3	3.3 Patch 12
3.4	3.4 Patch 7
3.5	3.5 Patch 4

31348

仍运行 ISE 3.0 的组织需要迁移到受支持版本。3.0 已结束软件维护，不会获得此漏洞的修复补丁。在迁移完成前，收紧管理和 API 接口的网络可达性有助于降低暴露面，但不能替代升级至已修复、仍受支持的版本。21648

建议按安全事件节奏处置

1. 盘点所有节点并立即升级

清点 ISE 和 ISE-PIC 部署，包括管理节点、策略服务节点、监控节点和被动身份节点。逐一确认软件主版本与补丁级别，随后升级至适用的首个修复版本或更高版本。313

2. 在破坏性变更前尽量保全证据

如业务条件允许，在升级、重建或其他可能改变现场的操作前，收集相关日志、系统与网络状态、配置信息，以及厂商支持的支持包。CISA 的 KEV 条目要求联邦机构在落实厂商修复建议时，同时遵循其取证分诊要求。1

3. 排查未授权访问迹象

应检查 ISE 应用日志和管理审计记录，重点关注异常 API 活动、认证事件、管理员账号变更、策略变更、证书变更、配置导出及存储库修改。还应与防火墙、VPN、反向代理或负载均衡器、DNS、EDR 及网络流量记录交叉关联，排查面向 ISE 管理接口的连接和异常出站流量。

检索时间范围应覆盖补丁安装前直至当前。仅凭 Web 管理界面看起来正常，不能证明系统从未被访问；尤其是该漏洞的已知影响包括 Root 级执行。348

4. 对疑似失陷节点重建，而非仅打补丁

补丁可以堵住漏洞入口，却不能证明此前被入侵的主机已经干净。若发现利用证据、无法解释的 Root 级改动、可疑进程、文件或网络连接、信任材料被篡改，或存在无法合理解释的配置变化，应重建节点，而非只安装补丁。

恢复时仅使用经验证、且早于疑似失陷时间段的备份；节点重新接入网络前先部署修复版本。还应轮换可能存储于受影响节点上、或可由其访问的凭据与密钥，包括 ISE 管理员账号、API 与存储库凭据，以及可能暴露的证书或私钥。

与另一宗 Cisco 在野利用零日漏洞的区别

CVE-2026-76460 是 Cisco 当周披露的第二个正遭利用的零日漏洞。另一个漏洞 CVE-2026-76461 影响 Cisco Secure Email Gateway（安全邮件网关）的 AsyncOS 邮件解析功能，是 CVSS 9.8 的 SQL 注入漏洞。未认证远程攻击者可发送含恶意 SQL 语句的构造邮件，经受影响网关触发后，可能以 Root 权限执行命令。3344

两者的初始攻击面不同：

• CVE-2026-76460：通过 ISE 或 ISE-PIC 的 API 端点发送构造请求，绕过认证。140
• CVE-2026-76461：恶意邮件内容触及 Cisco Secure Email Gateway 中存在问题的邮件解析逻辑。33

两者都具有紧迫性：都被报告为正遭利用、可远程触发、且都可能在攻击者未预先认证的情况下带来 Root 级控制。153344

现有证据直接确认 CVE-2026-76461 影响 Cisco Secure Email Gateway。部分更广泛的 Cisco 邮件产品通报也列出 Cisco Secure Email and Web Manager，但实际补丁计划应以 Cisco 针对各已部署产品发布的具体通告和版本指引为准。3341

目前仍未知的部分

漏洞已遭利用、技术影响极高，这两点已有确认；但攻击者是谁、多少组织受影响、利用从何时开始、使用了什么工具，以及取得访问权后做了什么，公开资料尚未给出答案。115

披露后的扫描活动报道是加快修复的另一理由，但现有证据不足以可靠估算扫描规模，也无法将其归因给特定攻击团伙。可以明确的是：面对一个无临时缓解措施、正在被利用、最高严重级别且存在于身份基础设施中的认证绕过漏洞，组织应立即修补；一旦系统存在暴露面或可疑活动，就应同时启动调查与取证，而不能将其视为单纯的例行更新。1348

为什么这不是一次普通补丁更新

CVE-2026-76460 影响 Cisco Identity Services Engine（ISE，思科身份服务引擎）及 ISE Passive Identity Connector（ISE-PIC）。漏洞位于 API 端点的认证控制：远程攻击者无需登录凭据，只要向受影响端点发送构造请求，就可能绕过原有认证检查并进入 Web 管理面。Cisco 的相关信息显示，成功利用可使攻击者在设备上以 Root 权限执行命令。134048

其严重性在于几个因素同时出现：

• CVSS 评分为 10.0，即最高等级；
• 不需要有效账号、不需要用户点击或其他交互；
• ISE 和 ISE-PIC 的受影响范围不取决于设备配置；
• 漏洞披露时已确认存在在野利用；
• 没有能够消除根本风险的临时缓解措施，支持版本只能通过安装修复软件解决。12316

Cisco 于 2026 年 9 月 16 日披露该漏洞遭积极利用。美国网络安全和基础设施安全局（CISA）同日将其加入“已知遭利用漏洞”（KEV）目录，并为美国联邦民用机构设定 9 月 19 日的修复期限。1915

ISE 被攻破意味着什么

ISE 是网络身份与访问控制平台，通常处于接入认证和策略执行的关键位置。此次问题的直接原因是 API 端点认证控制不足，攻击者可藉构造请求绕过预期的访问检查。140

风险不止于查看管理页面。公开报道所述影响是：未认证远程攻击者可能取得 Root 级命令执行，进而控制受影响的硬件设备或虚拟节点。348

因此，凡是管理界面或 API 可从不受信任网络访问、或在内部网段中暴露范围较广的 ISE 部署，都应被优先纳入应急响应。公开资料确认了漏洞正在被利用，但尚未披露攻击者身份、受害组织规模、利用工具、首次利用时间，以及入侵后的确切活动。115

各版本首个修复版本

ISE / ISE-PIC 分支	首个修复版本
3.1	3.1 Patch 12
3.2	3.2 Patch 11
3.3	3.3 Patch 12
3.4	3.4 Patch 7
3.5	3.5 Patch 4

31348

仍运行 ISE 3.0 的组织需要迁移到受支持版本。3.0 已结束软件维护，不会获得此漏洞的修复补丁。在迁移完成前，收紧管理和 API 接口的网络可达性有助于降低暴露面，但不能替代升级至已修复、仍受支持的版本。21648

建议按安全事件节奏处置

1. 盘点所有节点并立即升级

清点 ISE 和 ISE-PIC 部署，包括管理节点、策略服务节点、监控节点和被动身份节点。逐一确认软件主版本与补丁级别，随后升级至适用的首个修复版本或更高版本。313

2. 在破坏性变更前尽量保全证据

如业务条件允许，在升级、重建或其他可能改变现场的操作前，收集相关日志、系统与网络状态、配置信息，以及厂商支持的支持包。CISA 的 KEV 条目要求联邦机构在落实厂商修复建议时，同时遵循其取证分诊要求。1

3. 排查未授权访问迹象

应检查 ISE 应用日志和管理审计记录，重点关注异常 API 活动、认证事件、管理员账号变更、策略变更、证书变更、配置导出及存储库修改。还应与防火墙、VPN、反向代理或负载均衡器、DNS、EDR 及网络流量记录交叉关联，排查面向 ISE 管理接口的连接和异常出站流量。

检索时间范围应覆盖补丁安装前直至当前。仅凭 Web 管理界面看起来正常，不能证明系统从未被访问；尤其是该漏洞的已知影响包括 Root 级执行。348

4. 对疑似失陷节点重建，而非仅打补丁

补丁可以堵住漏洞入口，却不能证明此前被入侵的主机已经干净。若发现利用证据、无法解释的 Root 级改动、可疑进程、文件或网络连接、信任材料被篡改，或存在无法合理解释的配置变化，应重建节点，而非只安装补丁。

恢复时仅使用经验证、且早于疑似失陷时间段的备份；节点重新接入网络前先部署修复版本。还应轮换可能存储于受影响节点上、或可由其访问的凭据与密钥，包括 ISE 管理员账号、API 与存储库凭据，以及可能暴露的证书或私钥。

与另一宗 Cisco 在野利用零日漏洞的区别

CVE-2026-76460 是 Cisco 当周披露的第二个正遭利用的零日漏洞。另一个漏洞 CVE-2026-76461 影响 Cisco Secure Email Gateway（安全邮件网关）的 AsyncOS 邮件解析功能，是 CVSS 9.8 的 SQL 注入漏洞。未认证远程攻击者可发送含恶意 SQL 语句的构造邮件，经受影响网关触发后，可能以 Root 权限执行命令。3344

两者的初始攻击面不同：

• CVE-2026-76460：通过 ISE 或 ISE-PIC 的 API 端点发送构造请求，绕过认证。140
• CVE-2026-76461：恶意邮件内容触及 Cisco Secure Email Gateway 中存在问题的邮件解析逻辑。33

两者都具有紧迫性：都被报告为正遭利用、可远程触发、且都可能在攻击者未预先认证的情况下带来 Root 级控制。153344

现有证据直接确认 CVE-2026-76461 影响 Cisco Secure Email Gateway。部分更广泛的 Cisco 邮件产品通报也列出 Cisco Secure Email and Web Manager，但实际补丁计划应以 Cisco 针对各已部署产品发布的具体通告和版本指引为准。3341

目前仍未知的部分

漏洞已遭利用、技术影响极高，这两点已有确认；但攻击者是谁、多少组织受影响、利用从何时开始、使用了什么工具，以及取得访问权后做了什么，公开资料尚未给出答案。115

披露后的扫描活动报道是加快修复的另一理由，但现有证据不足以可靠估算扫描规模，也无法将其归因给特定攻击团伙。可以明确的是：面对一个无临时缓解措施、正在被利用、最高严重级别且存在于身份基础设施中的认证绕过漏洞，组织应立即修补；一旦系统存在暴露面或可疑活动，就应同时启动调查与取证，而不能将其视为单纯的例行更新。1348