Cisco har släppt brådskande säkerhetsuppdateringar för en sårbarhet med högsta allvarlighetsgrad i Identity Services Engine. Angripare utnyttjar redan nolldagssårbarheten i Cisco ISE, samtidigt som det inte finns någon tillfällig lösning som kan skydda sårbara system.
Autentiseringsbrist exponerar Cisco ISE-system
Cisco spårar sårbarheten som CVE-2026-76460. Den påverkar Cisco Identity Services Engine och ISE Passive Identity Connector, oavsett deras konfiguration.
ISE tillhandahåller en central plattform för hantering av användare, slutpunkter och åtkomst till nätverksresurser. Organisationer använder den ofta för att upprätthålla Zero Trust-säkerhetspolicyer.
Sårbarheten beror på otillräckliga autentiseringskontroller i en API-slutpunkt. En fjärrangripare kan utnyttja bristen genom att skicka en särskilt utformad begäran till ett sårbart system.
En lyckad attack kringgår det webbaserade hanteringsgränssnittet och ger obehörig åtkomst till enheten. Dessutom kan angripare så småningom köra kommandon med root-behörighet.
Cisco gav sårbarheten högsta möjliga allvarlighetsgrad. Företagets Product Security Incident Response Team bekräftade också att angripare utnyttjar den i verkliga attacker.
Cisco uppmanar kunder att installera uppdateringar
Cisco har inte tillhandahållit några tillfälliga lösningar för CVE-2026-76460. Därför måste administratörer uppgradera till en åtgärdad programvaruversion för att säkra berörda system.
Vilken uppdatering som krävs beror på den installerade versionen:
| Cisco ISE- eller ISE-PIC-version | Första åtgärdade version |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Cisco rekommenderar starkt att den lämpliga patchen installeras så snart som möjligt. Att skjuta upp uppdateringen lämnar berörda nätverk exponerade för pågående attacker.
Administratörer bör leta efter intrång
Cisco publicerade också indikatorer på kompromettering för att hjälpa organisationer att identifiera möjliga intrång. Säkerhetsteam bör granska access.log-filerna på varje nod efter misstänkta användarnamn.
Dessutom bör administratörer granska brandväggs- och nätverksloggar efter ovanliga externa anslutningar. De bör vara särskilt uppmärksamma på misstänkta uppladdningar och nedladdningar som involverar okända eller skadliga IP-adresser.
Angripare kan radera bevis efter att de fått root-åtkomst. Därför innebär frånvaron av tydliga indikatorer inte nödvändigtvis att ett system fortfarande är säkert.
Om administratörer misstänker skadlig aktivitet rekommenderar Cisco starkt att de berörda noderna ominstalleras. Teamen bör därefter återställa dem från betrodda säkerhetskopior.
CISA ger federala myndigheter tre dagar att installera patchen
USA:s Cybersecurity and Infrastructure Security Agency lade på onsdagen till CVE-2026-76460 i sin katalog över Known Exploited Vulnerabilities.
Som ett resultat måste amerikanska federala civila myndigheter installera patchen på berörda system inom tre dagar. Den ovanligt korta tidsfristen speglar sårbarhetens allvarlighetsgrad och bekräftade utnyttjande.
Cisco åtgärdade också en annan autentiseringssårbarhet med högsta allvarlighetsgrad, CVE-2026-76423. Dessutom patchade företaget flera andra kritiska problem som påverkar ISE och ISE-PIC.
Cisco har dock inte rapporterat något aktivt utnyttjande av dessa ytterligare sårbarheter.
Tidigare ISE-nolldagssårbarhet möjliggjorde attacker med webbskal
Incidenten följer på utnyttjandet av en annan Cisco ISE-sårbarhet med högsta allvarlighetsgrad i juli 2025.
Angripare använde CVE-2025-20337 för att genomföra attacker med fjärrkörning av kod. De installerade också ett anpassat webbskal kallat IdentityAuditAction, som de maskerade som en legitim ISE-komponent.
Cisco-produkter är fortsatt vanliga mål för cyberattacker. Under de senaste fem åren har CISA klassificerat 99 Cisco-sårbarheter som aktivt utnyttjade. Angripare använde också sju av dessa säkerhetsbrister i ransomware-kampanjer.
Den senaste nolldagssårbarheten i Cisco ISE understryker behovet av snabb patchning och noggrann logganalys. Organisationer som inte kan utesluta intrång bör bygga om berörda noder från betrodda säkerhetskopior.
0 svar till ”Cisco ISE-nolldagssårbarhet utnyttjas i aktiva attacker”