সর্বোচ্চ তীব্রতার প্রমাণীকরণ বাইপাস পরিচয় কর্তৃপক্ষকেই আঘাত করে — Cisco ISE CVE-2026-76460 এবং সীমানা-যন্ত্র রুট আপসের পুনরাবৃত্ত ধরন
Cisco ISE / ISE-PIC প্রমাণীকরণ বাইপাস CVE-2026-76460 (CVSS 10.0) সক্রিয় শোষণে আছে। CISA 16 সেপ্টেম্বর এটি KEV ক্যাটালগে যোগ করেছে, ফেডারেল প্রতিকারের সময়সীমা 19 সেপ্টেম্বর; কোনো ওয়ার্কঅ্যারাউন্ড নেই এবং iACL কেবল প্রশমন। আমরা সীমানা-যন্ত্র রুট-আপসের ধরন পরীক্ষা করি — 14 সেপ্টেম্বর প্রকাশিত Secure Email Gateway জিরো-ডে (CVE-2026-76461)-এর সমান্তরালে — এবং এর অর্থ যখন আপস হওয়া যন্ত্রের নিজের লগ আর প্রাথমিক উৎস থাকে না।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
16 সেপ্টেম্বর 2026-এ Cisco CVE-2026-76460 প্রকাশ করেছে, Cisco Identity Services Engine (ISE) ও ISE Passive Identity Connector-এ একটি প্রমাণীকরণ-বাইপাস দুর্বলতা, সর্বোচ্চ CVSS 3.1 স্কোর 10.0 সহ। মূল কারণ একটি API এন্ডপয়েন্টে অপর্যাপ্ত প্রমাণীকরণ নিয়ন্ত্রণ: একজন অপ্রমাণিত দূরবর্তী আক্রমণকারী বিশেষভাবে তৈরি অনুরোধ পাঠিয়ে ওয়েব ব্যবস্থাপনা ইন্টারফেসের প্রমাণীকরণ বাইপাস করতে পারে এবং ডিভাইসে অননুমোদিত প্রবেশ পেতে পারে। Cisco বলে যে তারা 'সক্রিয় শোষণ সম্পর্কে সচেতন' কিন্তু প্রকাশ করেনি পেছনে কে আছে বা অনুপ্রবেশকারীরা পরে কী করেছে। 3.1 থেকে 3.5 পর্যন্ত সব রিলিজ কনফিগারেশন নির্বিশেষে প্রভাবিত; সংশোধন আসে 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, এবং 3.5 Patch 4 হিসেবে। সংস্করণ 3.0, যা ইতিমধ্যে End of Software Maintenance পেরিয়েছে, তার কোনো প্যাচ পথ নেই — স্থানান্তরই একমাত্র পথ (Cisco পরামর্শ cisco-sa-ISE-ABP-VNSW7Tn5)।
Cisco স্পষ্ট বলে যে 'এই দুর্বলতাকে মোকাবিলা করার কোনো ওয়ার্কঅ্যারাউন্ড নেই', এবং ব্যবস্থাপনা- ও কন্ট্রোল-প্লেন ট্র্যাফিককে শুধু প্রয়োজনীয় উৎসে সীমাবদ্ধ করতে অবকাঠামো ACL (iACL) অস্থায়ী প্রশমন হিসেবে দেয় — এই পার্থক্য গুরুত্বপূর্ণ, কারণ iACL ঝুঁকিপূর্ণ এন্ডপয়েন্ট না সারিয়ে এক্সপোজার কমায়। শনাক্তকরণে, Cisco সতর্ক করে যে সফল শোষণ রুট-স্তরের কমান্ড কার্যকর দিতে পারে, অর্থাৎ প্রমাণ ও IoC আক্রমণকারী সরিয়ে ফেলতে বা লুকাতে পারে। এটি সুপারিশ করে একটি বিতরণকৃত স্থাপনার প্রতিটি নোডে access.log পর্যালোচনা করতে — `show logging application ise-kong/access.log | include dummyuser` অপ্রত্যাশিত ব্যবহারকারীর নাম তুলতে — এবং ক্ষতিকর এন্ট্রি দেখা গেলে নোডের পুনরায় ইমেজ বানিয়ে কনফিগারেশন ব্যাকআপ থেকে পুনরুদ্ধার করতে। CISA 16 সেপ্টেম্বর CVE-টি তার KEV ক্যাটালগে যোগ করেছে, ফেডারেল সংস্থাগুলোর জন্য 19 সেপ্টেম্বর প্রতিকারের সময়সীমা বেঁধে (The Hacker News ও CISA অনুসারে)।
বিশ্লেষণ (তথ্য থেকে পৃথক): এটি এই সপ্তাহে Cisco-এর সমান্তরালে চলা দ্বিতীয় 'প্রকাশ্য ব্যবস্থাপনা প্লেন থেকে রুট' ঘটনা। যেখানে Secure Email Gateway জিরো-ডে CVE-2026-76461 (14 সেপ্টেম্বর প্রকাশিত) পার্সিং কোডে SQL ইনজেকশনের মাধ্যমে রুটে পৌঁছায়, CVE-2026-76460 প্রমাণীকরণ-বাইপাস ব্যবস্থাপনা API-এর মাধ্যমে আসে — আলাদা দরজা, একই গন্তব্য: একটি সীমানা যন্ত্রের সম্পূর্ণ আপস। ISE এন্টারপ্রাইজ নেটওয়ার্ক-প্রবেশ সিদ্ধান্তের কেন্দ্রে বসে, পরিচয়, নীতি ও প্রবেশ-নিয়ন্ত্রণ ডেটা জড়ো করে; যখন এটি রুটে পড়ে, তার পেছনের পুরো বিশ্বাস শৃঙ্খল তার সঙ্গে ধরা পড়ে। The CyberSec Guru-এর গণনা অনুসারে, Cisco-এর সেপ্টেম্বর ব্যাচ 77টি CVE জুড়ে (41টি ISE স্পর্শ করে, 28টি Secure Firewall), যার মধ্যে একটি আলাদা CVSS 10.0 ISE REST API প্রমাণীকরণ বাইপাস, CVE-2026-76423, আছে। 'সক্রিয়ভাবে শোষিত' ও 'শোষণের প্রমাণ নেই' মেশানো একটি ব্যাচ নিজেই একটি ট্রায়াজ সমস্যা।
প্রতিরক্ষামূলক তাৎপর্য: (1) আপনি যদি ISE/ISE-PIC চালান, মিলযুক্ত প্যাচ লাগানো এই সপ্তাহের সর্বোচ্চ-অগ্রাধিকার পরিবর্তন; পড়ে থাকা 3.0 ইনস্টল আলাদা কারিগরি ঋণ যার কোনো সংশোধন পথ নেই। (2) ব্যবস্থাপনা প্লেনের iACL সীমাবদ্ধতা সঙ্গে সঙ্গে করা উচিত, কিন্তু তাকে প্রশমন হিসেবে লিপিবদ্ধ করুন, প্রতিকার হিসেবে নয়। (3) শনাক্তকরণকে শুধু যন্ত্রের নিজের লগের ওপর নির্ভর করতে দেবেন না — `dummyuser` পর্যালোচনাকে ISE-এর দিকে ও সেখান থেকে ট্র্যাফিকের জন্য বাইরের ফায়ারওয়াল ও NetFlow ইতিহাসের সঙ্গে জুড়ুন। (4) রুট আপস বিবেচনায় থাকলে, যন্ত্রের কনফিগারেশন ও নীতির অখণ্ডতা ব্যাকআপের সঙ্গে মিলিয়ে দেখা একটি বাধ্যতামূলক পুনরুদ্ধার ধাপ হয়। এখানকার তথ্য Cisco-এর পরামর্শ (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), CISA KEV ক্যাটালগ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html), এবং ব্যাচ-মাপের সংখ্যার জন্য The CyberSec Guru (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass)-এর ওপর টানা। বিশ্লেষণকে প্রতিবেদন থেকে পৃথক রাখা হয়েছে।