עקיפת אימות בחומרה מרבית פוגעת ברשות הזהות עצמה — Cisco ISE CVE-2026-76460 והדפוס החוזר של פשרת root במכשיר גבול
עקיפת האימות Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) נמצאת בניצול פעיל. CISA הוסיפה אותה לקטלוג ה-KEV ב-16 בספטמבר עם מועד תיקון פדרלי של 19 בספטמבר; אין מעקף, ו-iACL הם רק אמצעי הקלה. אנו בוחנים את דפוס פשרת ה-root של מכשיר גבול — במקביל ליום האפס של Secure Email Gateway (CVE-2026-76461) שנחשף ב-14 בספטמבר — ומה המשמעות כשיומני מכשיר שנפרץ עצמם מפסיקים להיות מקור ראשי.
מאמר זה תורגם במכונה.
ב-16 בספטמבר 2026 חשפה Cisco את CVE-2026-76460, חולשת עקיפת אימות ב-Cisco Identity Services Engine (ISE) וב-ISE Passive Identity Connector, עם ציון CVSS 3.1 המרבי של 10.0. סיבת השורש היא בקרת אימות לא מספקת על נקודת קצה של API: תוקף מרוחק לא מאומת ששולח בקשה מעוצבת יכול לעקוף את האימות של ממשק הניהול ברשת ולקבל גישה לא מורשית למכשיר. Cisco אומרת שהיא «מודעת לניצול פעיל» אבל לא פרסמה מי עומד מאחורי זה או מה עשו החודרים אחר כך. כל הגרסאות מ-3.1 עד 3.5 מושפעות ללא תלות בתצורה; התיקונים יוצאים כ-3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, ו-3.5 Patch 4. גרסה 3.0, שכבר עברה את End of Software Maintenance, אין לה נתיב תיקון — הגירה היא הדרך היחידה (ייעוץ Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco מצהירה בפירוש ש«אין מעקפים שמטפלים בחולשה הזו», ומציעה ACL של תשתית (iACL) כאמצעי הקלה זמני כדי להגביל תעבורת מישור ניהול ומישור בקרה למקורות הנדרשים בלבד — הבחנה שחשובה, מפני ש-iACL מפחיתים חשיפה בלי לתקן את נקודת הקצה הפגיעה. לגבי זיהוי, Cisco מזהירה שניצול מוצלח עשוי להניב הרצת פקודות ברמת root, כלומר ראיות ו-IoC יכולים להיות מוסרים או מוסתרים על ידי התוקף. היא ממליצה לסקור את access.log בכל צומת של פריסה מבוזרת — `show logging application ise-kong/access.log | include dummyuser` כדי להעלות שמות משתמש לא צפויים — ולשחזר דמות של צמתים ולשחזר מגיבוי תצורה אם מופיעות רשומות זדוניות. CISA הוסיפה את ה-CVE לקטלוג ה-KEV שלה ב-16 בספטמבר, וקבעה מועד תיקון של 19 בספטמבר לסוכנויות פדרליות (לפי The Hacker News ו-CISA).
ניתוח (מופרד מהעובדות): זה האירוע השני של «מישור ניהול פומבי אל root» ש-Cisco מנהלת במקביל השבוע. במקום שבו יום האפס של Secure Email Gateway CVE-2026-76461 (נחשף ב-14 בספטמבר) מגיע ל-root דרך הזרקת SQL בקוד ניתוח, CVE-2026-76460 מגיע דרך API ניהול שעקיפת האימות שלו נפרצה — דלתות שונות, אותו יעד: פשרה מלאה של מכשיר גבול. ISE יושב במרכז החלטות הגישה לרשת הארגונית, ואוסף זהות, מדיניות ונתוני בקרת גישה; כשהוא נופל ל-root, כל שרשרת האמון שמאחוריו נתפסת יחד איתו. לפי המניין של The CyberSec Guru, אצוות ספטמבר של Cisco משתרעת על 77 CVE (41 נוגעים ב-ISE, 28 ב-Secure Firewall), כולל עקיפת אימות נפרדת של REST API ב-ISE בציון CVSS 10.0, CVE-2026-76423. אצווה שמערבבת פריטים «מנוצלים בפועל» ופריטים «אין ראיה לניצול» היא עצמה בעיית מיון.
השלכות הגנתיות: (1) אם מפעילים ISE/ISE-PIC, החלת התיקון התואם היא השינוי בעדיפות הגבוהה ביותר השבוע; התקנות 3.0 שנותרו הן חוב טכני נפרד בלי נתיב תיקון. (2) הגבלת iACL של מישור הניהול שווה ביצוע מיידי, אבל יש לרשום אותה כאמצעי הקלה, לא כתיקון. (3) אין להשאיר את הזיהוי תלוי רק ביומני המכשיר עצמו — יש לזווג את סקירת `dummyuser` עם היסטוריית firewall חיצוני ו-NetFlow של תעבורה אל ISE וממנו. (4) אם פשרת root על השולחן, אימות שלמות התצורה והמדיניות של המכשיר מול גיבויים הופך לשלב שחזור חובה. העובדות כאן נשענות על הייעוץ של Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), קטלוג ה-KEV של CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html), ו-The CyberSec Guru לנתוני היקף האצווה (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). הניתוח נשמר בנפרד מן הדיווח.