CVE-2026-76460 的嚴重性不只在於分數滿分，更因為它鎖定的是身分與網路存取控管基礎設施，而且已確認遭到主動利用。漏洞影響 Cisco Identity Services Engine（ISE）及 ISE Passive Identity Connector（ISE-PIC）；未經驗證的遠端攻擊者可向存在漏洞的 API 端點送出特製請求，繞過驗證機制。Cisco 相關報導指出，成功利用後可在受影響裝置上以 Root 權限執行命令。1348

為什麼這是必須立刻處理的零時差漏洞？

此漏洞的 CVSS 評分為 10.0，即最高嚴重等級，且不論裝置設定為何，ISE 與 ISE-PIC 都可能受影響。利用過程不需要有效帳密，也不需要使用者互動：攻擊者只要對受影響 API 端點發出特製請求，即可能繞過網頁式管理介面的驗證。1340

Cisco 於 2026 年 9 月 16 日揭露已出現主動利用情形。美國網路安全暨基礎設施安全局（CISA）同日將 CVE-2026-76460 納入「已知遭利用漏洞」目錄（Known Exploited Vulnerabilities，KEV），並將美國聯邦民事行政機關的修補期限訂為 9 月 19 日。1915

目前沒有能消除根本風險的替代緩解措施。對仍受支援的版本而言，安裝 Cisco 已修正的軟體是唯一的補救方式。216

ISE 的驗證繞過，代表什麼風險？

ISE 是用於網路身分識別與存取控制的平台，因此一旦失陷，可能危及高價值的控管節點。眼前的技術問題是 API 驗證失效：由於 API 端點的驗證控制不足，特製請求可繞過原本應有的存取檢查。140

CVE-2026-76460 的影響不只是讀取管理介面。未經驗證的攻擊者可能取得 Root 層級命令執行權限，亦即能控制受影響的實體設備或虛擬節點。348

因此，若組織的 ISE 管理介面或 API 可從不受信任網路存取，或在內部網段中廣泛開放，應將此情況視為可能需要啟動事件應變的資安風險。公開資訊已確認漏洞正遭利用，但尚未揭露攻擊者身分、受害組織範圍、利用工具、最早利用時間，或已確認的入侵後活動。115

Cisco ISE 與 ISE-PIC 修正版本

Cisco 首批修正版本如下：

版本分支	首個修正版本
ISE / ISE-PIC 3.1	3.1 Patch 12
ISE / ISE-PIC 3.2	3.2 Patch 11
ISE / ISE-PIC 3.3	3.3 Patch 12
ISE / ISE-PIC 3.4	3.4 Patch 7
ISE / ISE-PIC 3.5	3.5 Patch 4

31348

仍在使用 ISE 3.0 的組織，應規劃遷移至受支援版本。3.0 已結束軟體維護，不會獲得此次修正程式。在完成遷移前，限制管理與 API 介面的可達性可降低暴露面，但不能取代升級至已修正、且仍受支援版本的作法。21648

實務應變：建議按四個步驟處理

1. 盤點所有受影響節點並修補支援中的部署

盤點 ISE 與 ISE-PIC 的所有部署，包括管理、政策服務、監控及被動身分識別節點。確認實際安裝的主版本與修補等級，再升級至適用的首個修正版本或更新版本。313

2. 在可能情況下，先保全證據

若不會造成不可接受的營運中斷，應先蒐集相關日誌、系統與網路狀態、設定資訊，以及 Cisco 支援的支援套件，再進行修補或重建。CISA 的 KEV 項目要求聯邦機關依循廠商補救指引，同時遵守鑑識分流要求。1

3. 調查未授權存取跡象

檢視 ISE 應用程式與管理稽核紀錄，留意異常 API 活動、驗證事件、管理員帳號變更、政策變更、憑證異動、設定匯出及儲存庫修改。並應將這些事件與防火牆、VPN、反向代理或負載平衡器、DNS、端點偵測與回應（EDR），以及網路流量遙測資料交叉比對，確認是否存在連往 ISE 管理介面的連線或不尋常的對外連線。

調查範圍應至少涵蓋修補前至今的期間。單憑網頁管理介面看似正常，無法證明系統從未被存取，尤其此漏洞的已知影響包含 Root 層級執行權限。348

4. 對可能已遭入侵的系統進行重建

修補只能封堵漏洞入口，不能證明先前失陷的主機已恢復乾淨。若節點有遭利用證據、無法解釋的 Root 層級變更、可疑程序、檔案或連線、信任資料遭異動，或存在無法說明的設定變更，應重建系統，而非僅套用修補程式。

僅能從經驗證、且早於疑似入侵期間的備份還原；重新連線前先安裝修正版本，並輪替可能儲存在受影響節點上，或可由該節點取得的帳密與祕密資料。範圍可能包括 ISE 管理員帳號、API 與儲存庫憑證，以及可能外洩的憑證或金鑰。

與 CVE-2026-76461 的差異

CVE-2026-76460 是 Cisco 當週揭露的第二個已遭主動利用零時差漏洞。另一項 CVE-2026-76461 為 Cisco Secure Email Gateway 的 Cisco AsyncOS 郵件解析功能中的 SQL 注入漏洞，CVSS 為 9.8。未經驗證的遠端攻擊者可將含有惡意 SQL 陳述式的特製電子郵件寄經存在漏洞的閘道，進而可能取得底層作業系統的 Root 層級命令執行權限。3344

兩者的入侵途徑不同：

• CVE-2026-76460： 對 ISE 或 ISE-PIC API 端點送出特製請求，以繞過驗證。140
• CVE-2026-76461： 惡意電子郵件內容進入 Cisco Secure Email Gateway 中存在漏洞的郵件解析邏輯。33

兩者都特別緊急，因為已有報告確認正遭主動利用、可遠端觸及，且無須事先驗證就可能造成 Root 層級控制。153344

現有證據直接確認 CVE-2026-76461 影響 Cisco Secure Email Gateway。部分報導在較廣泛的 Cisco 電子郵件產品公告中也列出 Cisco Secure Email and Web Manager，但修補規劃仍應以 Cisco 針對各項已部署產品發布的個別公告與版本指引為準。3341

目前仍不知道什麼？

主動利用情況與技術嚴重性已獲確認，但許多營運層面的關鍵資訊仍未公開。Cisco 的公開揭露及同期報導尚無法確認攻擊者身分、受害組織數量、利用何時開始、所用工具，以及攻擊者取得存取權後實際進行了哪些行動。115

對於揭露後可能出現掃描活動的報導，應視為加快補救的另一個理由；不過，現有資料不足以可靠估計掃描量，也無法將其歸因於特定行為者。可以明確採取的結論是：面對一個滿分嚴重度、沒有替代緩解措施、正在遭利用，且存在於身分基礎設施中的驗證繞過漏洞，組織應立即修補；只要暴露情況或可疑活動使失陷具合理可能性，就應同步展開調查。1348

CVE-2026-76460 的嚴重性不只在於分數滿分，更因為它鎖定的是身分與網路存取控管基礎設施，而且已確認遭到主動利用。漏洞影響 Cisco Identity Services Engine（ISE）及 ISE Passive Identity Connector（ISE-PIC）；未經驗證的遠端攻擊者可向存在漏洞的 API 端點送出特製請求，繞過驗證機制。Cisco 相關報導指出，成功利用後可在受影響裝置上以 Root 權限執行命令。1348

為什麼這是必須立刻處理的零時差漏洞？

此漏洞的 CVSS 評分為 10.0，即最高嚴重等級，且不論裝置設定為何，ISE 與 ISE-PIC 都可能受影響。利用過程不需要有效帳密，也不需要使用者互動：攻擊者只要對受影響 API 端點發出特製請求，即可能繞過網頁式管理介面的驗證。1340

Cisco 於 2026 年 9 月 16 日揭露已出現主動利用情形。美國網路安全暨基礎設施安全局（CISA）同日將 CVE-2026-76460 納入「已知遭利用漏洞」目錄（Known Exploited Vulnerabilities，KEV），並將美國聯邦民事行政機關的修補期限訂為 9 月 19 日。1915

目前沒有能消除根本風險的替代緩解措施。對仍受支援的版本而言，安裝 Cisco 已修正的軟體是唯一的補救方式。216

ISE 的驗證繞過，代表什麼風險？

ISE 是用於網路身分識別與存取控制的平台，因此一旦失陷，可能危及高價值的控管節點。眼前的技術問題是 API 驗證失效：由於 API 端點的驗證控制不足，特製請求可繞過原本應有的存取檢查。140

CVE-2026-76460 的影響不只是讀取管理介面。未經驗證的攻擊者可能取得 Root 層級命令執行權限，亦即能控制受影響的實體設備或虛擬節點。348

因此，若組織的 ISE 管理介面或 API 可從不受信任網路存取，或在內部網段中廣泛開放，應將此情況視為可能需要啟動事件應變的資安風險。公開資訊已確認漏洞正遭利用，但尚未揭露攻擊者身分、受害組織範圍、利用工具、最早利用時間，或已確認的入侵後活動。115

Cisco ISE 與 ISE-PIC 修正版本

Cisco 首批修正版本如下：

版本分支	首個修正版本
ISE / ISE-PIC 3.1	3.1 Patch 12
ISE / ISE-PIC 3.2	3.2 Patch 11
ISE / ISE-PIC 3.3	3.3 Patch 12
ISE / ISE-PIC 3.4	3.4 Patch 7
ISE / ISE-PIC 3.5	3.5 Patch 4

31348

仍在使用 ISE 3.0 的組織，應規劃遷移至受支援版本。3.0 已結束軟體維護，不會獲得此次修正程式。在完成遷移前，限制管理與 API 介面的可達性可降低暴露面，但不能取代升級至已修正、且仍受支援版本的作法。21648

實務應變：建議按四個步驟處理

1. 盤點所有受影響節點並修補支援中的部署

盤點 ISE 與 ISE-PIC 的所有部署，包括管理、政策服務、監控及被動身分識別節點。確認實際安裝的主版本與修補等級，再升級至適用的首個修正版本或更新版本。313

2. 在可能情況下，先保全證據

若不會造成不可接受的營運中斷，應先蒐集相關日誌、系統與網路狀態、設定資訊，以及 Cisco 支援的支援套件，再進行修補或重建。CISA 的 KEV 項目要求聯邦機關依循廠商補救指引，同時遵守鑑識分流要求。1

3. 調查未授權存取跡象

檢視 ISE 應用程式與管理稽核紀錄，留意異常 API 活動、驗證事件、管理員帳號變更、政策變更、憑證異動、設定匯出及儲存庫修改。並應將這些事件與防火牆、VPN、反向代理或負載平衡器、DNS、端點偵測與回應（EDR），以及網路流量遙測資料交叉比對，確認是否存在連往 ISE 管理介面的連線或不尋常的對外連線。

調查範圍應至少涵蓋修補前至今的期間。單憑網頁管理介面看似正常，無法證明系統從未被存取，尤其此漏洞的已知影響包含 Root 層級執行權限。348

4. 對可能已遭入侵的系統進行重建

修補只能封堵漏洞入口，不能證明先前失陷的主機已恢復乾淨。若節點有遭利用證據、無法解釋的 Root 層級變更、可疑程序、檔案或連線、信任資料遭異動，或存在無法說明的設定變更，應重建系統，而非僅套用修補程式。

僅能從經驗證、且早於疑似入侵期間的備份還原；重新連線前先安裝修正版本，並輪替可能儲存在受影響節點上，或可由該節點取得的帳密與祕密資料。範圍可能包括 ISE 管理員帳號、API 與儲存庫憑證，以及可能外洩的憑證或金鑰。

與 CVE-2026-76461 的差異

CVE-2026-76460 是 Cisco 當週揭露的第二個已遭主動利用零時差漏洞。另一項 CVE-2026-76461 為 Cisco Secure Email Gateway 的 Cisco AsyncOS 郵件解析功能中的 SQL 注入漏洞，CVSS 為 9.8。未經驗證的遠端攻擊者可將含有惡意 SQL 陳述式的特製電子郵件寄經存在漏洞的閘道，進而可能取得底層作業系統的 Root 層級命令執行權限。3344

兩者的入侵途徑不同：

• CVE-2026-76460： 對 ISE 或 ISE-PIC API 端點送出特製請求，以繞過驗證。140
• CVE-2026-76461： 惡意電子郵件內容進入 Cisco Secure Email Gateway 中存在漏洞的郵件解析邏輯。33

兩者都特別緊急，因為已有報告確認正遭主動利用、可遠端觸及，且無須事先驗證就可能造成 Root 層級控制。153344

現有證據直接確認 CVE-2026-76461 影響 Cisco Secure Email Gateway。部分報導在較廣泛的 Cisco 電子郵件產品公告中也列出 Cisco Secure Email and Web Manager，但修補規劃仍應以 Cisco 針對各項已部署產品發布的個別公告與版本指引為準。3341

目前仍不知道什麼？

主動利用情況與技術嚴重性已獲確認，但許多營運層面的關鍵資訊仍未公開。Cisco 的公開揭露及同期報導尚無法確認攻擊者身分、受害組織數量、利用何時開始、所用工具，以及攻擊者取得存取權後實際進行了哪些行動。115

對於揭露後可能出現掃描活動的報導，應視為加快補救的另一個理由；不過，現有資料不足以可靠估計掃描量，也無法將其歸因於特定行為者。可以明確採取的結論是：面對一個滿分嚴重度、沒有替代緩解措施、正在遭利用，且存在於身分基礎設施中的驗證繞過漏洞，組織應立即修補；只要暴露情況或可疑活動使失陷具合理可能性，就應同步展開調查。1348