Cisco har udsendt hastende sikkerhedsopdateringer til en sårbarhed med den højeste alvorlighedsgrad i Identity Services Engine. Angribere udnytter allerede nuldagssårbarheden i Cisco ISE, mens der ikke findes nogen midlertidig løsning, som kan beskytte sårbare systemer.
Autentificeringsfejl eksponerer Cisco ISE-systemer
Cisco sporer sårbarheden som CVE-2026-76460. Den påvirker Cisco Identity Services Engine og ISE Passive Identity Connector, uanset deres konfiguration.
ISE leverer en central platform til administration af brugere, endpoints og adgang til netværksressourcer. Organisationer bruger den ofte til at håndhæve Zero Trust-sikkerhedspolitikker.
Sårbarheden skyldes utilstrækkelige autentificeringskontroller i et API-endpoint. En ekstern angriber kan udnytte fejlen ved at sende en særligt udformet anmodning til et sårbart system.
Et vellykket angreb omgår den webbaserede administrationsgrænseflade og giver uautoriseret adgang til enheden. Desuden kan angribere i sidste ende udføre kommandoer med root-rettigheder.
Cisco tildelte sårbarheden den højest mulige alvorlighedsgrad. Virksomhedens Product Security Incident Response Team bekræftede også, at angribere udnytter den i virkelige angreb.
Cisco opfordrer kunder til at installere opdateringer
Cisco har ikke leveret nogen midlertidige løsninger til CVE-2026-76460. Derfor skal administratorer opgradere til en rettet softwareversion for at sikre berørte systemer.
Den nødvendige opdatering afhænger af den installerede version:
| Cisco ISE- eller ISE-PIC-version | Første rettede version |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Cisco anbefaler kraftigt at installere den relevante patch så hurtigt som muligt. Hvis opdateringen udskydes, forbliver berørte netværk eksponeret for igangværende angreb.
Administratorer bør lede efter indtrængen
Cisco offentliggjorde også indikatorer på kompromittering for at hjælpe organisationer med at identificere mulige sikkerhedsbrud. Sikkerhedsteams bør undersøge access.log-filerne på hver node for mistænkelige brugernavne.
Derudover bør administratorer gennemgå firewall- og netværkslogfiler for usædvanlige eksterne forbindelser. De bør være særligt opmærksomme på mistænkelige uploads og downloads, der involverer ukendte eller ondsindede IP-adresser.
Angribere kan slette beviser efter at have fået root-adgang. Derfor betyder fraværet af tydelige indikatorer ikke nødvendigvis, at et system fortsat er sikkert.
Hvis administratorer har mistanke om ondsindet aktivitet, anbefaler Cisco kraftigt at geninstallere de berørte noder. Teams bør derefter gendanne dem fra pålidelige sikkerhedskopier.
CISA giver føderale myndigheder tre dage til at installere patchen
USA’s Cybersecurity and Infrastructure Security Agency føjede onsdag CVE-2026-76460 til sit Known Exploited Vulnerabilities-katalog.
Som følge heraf skal amerikanske føderale civile myndigheder installere patchen på berørte systemer inden for tre dage. Den usædvanligt korte frist afspejler sårbarhedens alvorlighedsgrad og bekræftede udnyttelse.
Cisco rettede også en anden autentificeringssårbarhed med den højeste alvorlighedsgrad, CVE-2026-76423. Derudover rettede virksomheden flere andre kritiske problemer, der påvirker ISE og ISE-PIC.
Cisco har dog ikke rapporteret aktiv udnyttelse af disse yderligere sårbarheder.
Tidligere ISE-nuldagssårbarhed muliggjorde web shell-angreb
Denne hændelse følger udnyttelsen af en anden Cisco ISE-sårbarhed med den højeste alvorlighedsgrad i juli 2025.
Angribere brugte CVE-2025-20337 til at gennemføre angreb med fjernudførelse af kode. De installerede også et specialudviklet web shell kaldet IdentityAuditAction, som de forklædte som en legitim ISE-komponent.
Cisco-produkter er fortsat hyppige mål for cyberangreb. I løbet af de seneste fem år har CISA klassificeret 99 Cisco-sårbarheder som aktivt udnyttede. Angribere brugte også syv af disse sikkerhedsfejl i ransomware-kampagner.
Den seneste nuldagssårbarhed i Cisco ISE understreger behovet for hurtig patching og grundig analyse af logfiler. Organisationer, der ikke kan udelukke kompromittering, bør genopbygge de berørte noder fra pålidelige sikkerhedskopier.
0 svar til “Cisco ISE-nuldagssårbarhed udnyttes i aktive angreb”