Un contournement d'authentification de sévérité maximale frappe l'autorité d'identité elle-même — Cisco ISE CVE-2026-76460 et le schéma récurrent de compromission root des appliances de frontière
Le contournement d'authentification Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) fait l'objet d'une exploitation active. CISA l'a ajouté au catalogue KEV le 16 septembre, avec une échéance de remédiation fédérale au 19 septembre ; il n'existe pas de solution de contournement, et les iACLs ne sont qu'une mitigation. Nous examinons le schéma de compromission root des appliances de frontière — qui court en parallèle du zero-day Secure Email Gateway (CVE-2026-76461) divulgué le 14 septembre — et ce que cela signifie lorsque les journaux propres d'une appliance compromise cessent d'être une source primaire.
Cet article a été traduit par une machine.
Le 16 septembre 2026, Cisco a divulgué CVE-2026-76460, une vulnérabilité de contournement d'authentification dans Cisco Identity Services Engine (ISE) et l'ISE Passive Identity Connector, portant le score CVSS 3.1 maximal de 10.0. La cause racine est un contrôle d'authentification insuffisant sur un point de terminaison d'API : un attaquant distant non authentifié qui envoie une requête spécialement conçue peut contourner l'authentification de l'interface de gestion web et obtenir un accès non autorisé à l'appareil. Cisco dit être « au courant d'une exploitation active », mais n'a pas publié qui est derrière ni ce que les intrus ont fait ensuite. Toutes les versions de 3.1 à 3.5 sont affectées quelle que soit la configuration ; les correctifs sont livrés comme 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4. La version 3.0, déjà au-delà de l'End of Software Maintenance, n'a pas de chemin de correctif — la migration est la seule voie (avis Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco énonce clairement qu'« il n'y a pas de solutions de contournement qui traitent cette vulnérabilité », et propose les ACL d'infrastructure (iACLs) comme mitigation temporaire pour restreindre le trafic des plans de gestion et de contrôle aux seules sources requises — une distinction qui compte, puisque les iACLs réduisent l'exposition sans corriger le point de terminaison vulnérable. Sur la détection, Cisco avertit qu'une exploitation réussie peut produire une exécution de commandes au niveau root, ce qui signifie que les preuves et les IoC peuvent être retirés ou cachés par l'attaquant. Il recommande d'examiner access.log sur chaque nœud d'un déploiement distribué — `show logging application ise-kong/access.log | include dummyuser` pour faire apparaître des noms d'utilisateur inattendus — et de réimager les nœuds puis de restaurer depuis une sauvegarde de configuration si des entrées malveillantes apparaissent. CISA a ajouté le CVE à son catalogue KEV le 16 septembre, en fixant une échéance de remédiation au 19 septembre pour les agences fédérales (selon The Hacker News et CISA).
Analyse (séparée des faits) : il s'agit du 2e incident « plan de gestion public vers root » que Cisco a conduit en parallèle cette semaine. Là où le zero-day Secure Email Gateway CVE-2026-76461 (divulgué le 14 septembre) atteint root par injection SQL dans le code d'analyse, CVE-2026-76460 arrive par une API de gestion dont l'authentification est contournée — des portes différentes, la même destination : la compromission totale d'une appliance de frontière. ISE siège au centre des décisions d'accès au réseau de l'entreprise, en agrégeant les données d'identité, de politique et de contrôle d'accès ; lorsqu'il tombe à root, toute la chaîne de confiance qui est derrière est capturée avec lui. Selon le décompte de The CyberSec Guru, le lot de septembre de Cisco couvre 77 CVE (41 touchant ISE, 28 Secure Firewall), y compris un contournement d'authentification distinct de l'API REST ISE, de CVSS 10.0, CVE-2026-76423. Un lot qui mélange des éléments « activement exploités » et « sans preuve d'exploitation » est lui-même un problème de triage.
Implications défensives : (1) Si vous exploitez ISE/ISE-PIC, appliquer le correctif correspondant est le changement de plus haute priorité de cette semaine ; les installations 3.0 qui demeurent sont une dette technique distincte, sans chemin de correctif. (2) La restriction par iACL du plan de gestion vaut d'être faite immédiatement, mais enregistrez-la comme mitigation, pas comme remédiation. (3) Ne laissez pas la détection dépendre uniquement des journaux propres de l'appliance — couplez l'examen de `dummyuser` à l'historique externe de pare-feu et de NetFlow pour le trafic vers ISE et depuis ISE. (4) Si la compromission root est sur la table, vérifier l'intégrité de la configuration et de la politique de l'appliance par rapport aux sauvegardes devient une étape de reprise obligatoire. Les faits ici s'appuient sur l'avis de Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), le catalogue KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) et The CyberSec Guru pour les chiffres à l'échelle du lot (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). L'analyse est tenue séparée du compte rendu.