Cisco har lansert hasteoppdateringer for en sårbarhet med høyeste alvorlighetsgrad i Identity Services Engine. Angripere utnytter allerede nulldagssårbarheten i Cisco ISE, samtidig som det ikke finnes noen midlertidig løsning som kan beskytte sårbare systemer.
Autentiseringsfeil eksponerer Cisco ISE-systemer
Cisco sporer sårbarheten som CVE-2026-76460. Den påvirker Cisco Identity Services Engine og ISE Passive Identity Connector, uavhengig av konfigurasjon.
ISE tilbyr en sentral plattform for administrasjon av brukere, endepunkter og tilgang til nettverksressurser. Organisasjoner bruker den ofte til å håndheve Zero Trust-sikkerhetspolicyer.
Sårbarheten skyldes utilstrekkelige autentiseringskontroller i et API-endepunkt. En ekstern angriper kan utnytte feilen ved å sende en spesiallaget forespørsel til et sårbart system.
Et vellykket angrep omgår det nettbaserte administrasjonsgrensesnittet og gir uautorisert tilgang til enheten. I tillegg kan angripere etter hvert kjøre kommandoer med root-rettigheter.
Cisco ga sårbarheten høyest mulig alvorlighetsgrad. Selskapets Product Security Incident Response Team bekreftet også at angripere utnytter den i reelle angrep.
Cisco oppfordrer kunder til å installere oppdateringer
Cisco har ikke gitt noen midlertidige løsninger for CVE-2026-76460. Derfor må administratorer oppgradere til en rettet programvareversjon for å sikre berørte systemer.
Den nødvendige oppdateringen avhenger av den installerte versjonen:
| Cisco ISE- eller ISE-PIC-versjon | Første rettede versjon |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Cisco anbefaler på det sterkeste å installere den aktuelle oppdateringen så snart som mulig. Å utsette oppdateringen gjør at berørte nettverk forblir eksponert for pågående angrep.
Administratorer bør lete etter inntrengninger
Cisco publiserte også indikatorer på kompromittering for å hjelpe organisasjoner med å identifisere mulige sikkerhetsbrudd. Sikkerhetsteam bør undersøke access.log-filene på hver node for mistenkelige brukernavn.
I tillegg bør administratorer gjennomgå brannmur- og nettverkslogger for uvanlige eksterne tilkoblinger. De bør være spesielt oppmerksomme på mistenkelige opplastinger og nedlastinger som involverer ukjente eller skadelige IP-adresser.
Angripere kan slette bevis etter å ha fått root-tilgang. Derfor betyr ikke fravær av tydelige indikatorer nødvendigvis at et system fortsatt er sikkert.
Hvis administratorer mistenker ondsinnet aktivitet, anbefaler Cisco på det sterkeste å reinstallere de berørte nodene. Teamene bør deretter gjenopprette dem fra pålitelige sikkerhetskopier.
CISA gir føderale etater tre dager til å installere oppdateringen
USAs Cybersecurity and Infrastructure Security Agency la onsdag CVE-2026-76460 til i sin Known Exploited Vulnerabilities-katalog.
Som et resultat må amerikanske føderale sivile etater installere oppdateringen på berørte systemer innen tre dager. Den uvanlig korte fristen gjenspeiler sårbarhetens alvorlighetsgrad og bekreftede utnyttelse.
Cisco rettet også en annen autentiseringssårbarhet med høyeste alvorlighetsgrad, CVE-2026-76423. I tillegg rettet selskapet flere andre kritiske problemer som påvirker ISE og ISE-PIC.
Cisco har imidlertid ikke rapportert aktiv utnyttelse av disse ytterligere sårbarhetene.
Tidligere ISE-nulldagssårbarhet muliggjorde web shell-angrep
Denne hendelsen følger utnyttelsen av en annen Cisco ISE-sårbarhet med høyeste alvorlighetsgrad i juli 2025.
Angripere brukte CVE-2025-20337 til å gjennomføre angrep med ekstern kjøring av kode. De installerte også et spesialutviklet web shell kalt IdentityAuditAction, som de kamuflerte som en legitim ISE-komponent.
Cisco-produkter er fortsatt hyppige mål for cyberangrep. I løpet av de siste fem årene har CISA klassifisert 99 Cisco-sårbarheter som aktivt utnyttet. Angripere brukte også sju av disse sikkerhetsfeilene i løsepengevirus-kampanjer.
Den nyeste nulldagssårbarheten i Cisco ISE understreker behovet for rask oppdatering og grundig logganalyse. Organisasjoner som ikke kan utelukke kompromittering, bør bygge opp de berørte nodene på nytt fra pålitelige sikkerhetskopier.
0 responses to “Cisco ISE-nulldagssårbarhet utnyttes i aktive angrep”