अधिकतम गंभीरता का प्रमाणीकरण बायपास स्वयं पहचान प्राधिकरण पर पड़ता है — Cisco ISE CVE-2026-76460 और सीमा-उपकरण रूट समझौते का आवर्ती पैटर्न
Cisco ISE / ISE-PIC प्रमाणीकरण बायपास CVE-2026-76460 (CVSS 10.0) सक्रिय शोषण में है। CISA ने इसे 16 सितंबर को KEV कैटलॉग में जोड़ा, संघीय उपचार की समय-सीमा 19 सितंबर; कोई वर्कअराउंड नहीं है और iACL केवल शमन हैं। हम सीमा-उपकरण रूट-समझौता पैटर्न की जाँच करते हैं — 14 सितंबर को खुलासे हुए Secure Email Gateway शून्य-दिन (CVE-2026-76461) के समानांतर — और इसका अर्थ जब समझौता हुए उपकरण के अपने लॉग प्राथमिक स्रोत नहीं रहते।
यह लेख मशीन से अनुवादित किया गया था।
16 सितंबर 2026 को Cisco ने CVE-2026-76460 का खुलासा किया, Cisco Identity Services Engine (ISE) और ISE Passive Identity Connector में एक प्रमाणीकरण-बायपास भेद्यता, अधिकतम CVSS 3.1 स्कोर 10.0 के साथ। मूल कारण एक API एंडपॉइंट पर अपर्याप्त प्रमाणीकरण नियंत्रण है: अप्रमाणित दूरस्थ हमलावर विशेष रूप से तैयार अनुरोध भेजकर वेब प्रबंधन इंटरफ़ेस के प्रमाणीकरण को बायपास कर सकता है और डिवाइस तक अनधिकृत पहुँच प्राप्त कर सकता है। Cisco कहता है कि वह 'सक्रिय शोषण से अवगत है' परंतु यह प्रकाशित नहीं किया कि पीछे कौन है या घुसपैठियों ने बाद में क्या किया। 3.1 से 3.5 तक सभी रिलीज़ कॉन्फ़िगरेशन की परवाह किए बिना प्रभावित हैं; सुधार 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, और 3.5 Patch 4 के रूप में आते हैं। संस्करण 3.0, जो पहले ही End of Software Maintenance पार कर चुका है, का कोई पैच पथ नहीं है — स्थानांतरण ही एकमात्र मार्ग है (Cisco सलाह cisco-sa-ISE-ABP-VNSW7Tn5)।
Cisco स्पष्ट रूप से कहता है कि 'इस भेद्यता को संबोधित करने वाले कोई वर्कअराउंड नहीं हैं', और प्रबंधन- तथा कंट्रोल-प्लेन ट्रैफ़िक को केवल आवश्यक स्रोतों तक सीमित करने के लिए इन्फ्रास्ट्रक्चर ACL (iACL) को अस्थायी शमन के रूप में देता है — यह भेद मायने रखता है, क्योंकि iACL एक्सपोज़र घटाते हैं बिना असुरक्षित एंडपॉइंट को ठीक किए। पहचान पर, Cisco चेतावनी देता है कि सफल शोषण रूट-स्तर का कमांड निष्पादन दे सकता है, जिसका अर्थ है कि साक्ष्य और IoC हमलावर द्वारा हटाए या छिपाए जा सकते हैं। यह अनुशंसा करता है कि वितरित परिनियोजन के हर नोड पर access.log की समीक्षा करें — `show logging application ise-kong/access.log | include dummyuser` अप्रत्याशित उपयोगकर्ता नाम सतह पर लाने के लिए — और यदि दुर्भावनापूर्ण प्रविष्टियाँ दिखें तो नोड का पुनः इमेज बनाएँ और कॉन्फ़िगरेशन बैकअप से पुनर्स्थापित करें। CISA ने 16 सितंबर को CVE को अपने KEV कैटलॉग में जोड़ा, संघीय एजेंसियों के लिए 19 सितंबर की उपचार समय-सीमा निर्धारित करते हुए (The Hacker News और CISA के अनुसार)।
विश्लेषण (तथ्यों से पृथक): यह इस सप्ताह Cisco द्वारा समानांतर चलाया गया दूसरा 'सार्वजनिक प्रबंधन प्लेन से रूट' प्रकरण है। जहाँ Secure Email Gateway शून्य-दिन CVE-2026-76461 (14 सितंबर को खुलासा) पार्सिंग कोड में SQL इंजेक्शन के माध्यम से रूट तक पहुँचता है, CVE-2026-76460 प्रमाणीकरण-बायपास प्रबंधन API के माध्यम से आता है — अलग दरवाज़े, वही गंतव्य: सीमा उपकरण का पूर्ण समझौता। ISE उद्यम नेटवर्क-पहुँच निर्णयों के केंद्र में बैठता है, पहचान, नीति और पहुँच-नियंत्रण डेटा एकत्र करता है; जब यह रूट तक गिरता है, उसके पीछे की पूरी विश्वास शृंखला उसके साथ कैद हो जाती है। The CyberSec Guru की गिनती के अनुसार, Cisco का सितंबर बैच 77 CVE फैलाता है (41 ISE को छूते हैं, 28 Secure Firewall), जिसमें एक अलग CVSS 10.0 ISE REST API प्रमाणीकरण बायपास, CVE-2026-76423, शामिल है। 'सक्रिय रूप से शोषित' और 'शोषण का कोई साक्ष्य नहीं' मदों को मिलाने वाला बैच स्वयं एक ट्राइएज समस्या है।
रक्षात्मक निहितार्थ: (1) यदि आप ISE/ISE-PIC चलाते हैं, तो मेल खाता पैच लगाना इस सप्ताह का सर्वोच्च-प्राथमिकता परिवर्तन है; बचे हुए 3.0 इंस्टॉल अलग तकनीकी ऋण हैं जिनका कोई सुधार पथ नहीं। (2) प्रबंधन प्लेन का iACL प्रतिबंध तुरंत करना उचित है, परंतु उसे शमन के रूप में दर्ज करें, उपचार के रूप में नहीं। (3) पहचान को केवल उपकरण के अपने लॉग पर निर्भर न रहने दें — `dummyuser` समीक्षा को ISE की ओर और उससे ट्रैफ़िक के लिए बाहरी फ़ायरवॉल और NetFlow इतिहास के साथ जोड़ें। (4) यदि रूट समझौता विचार में है, तो उपकरण के कॉन्फ़िगरेशन और नीति की अखंडता को बैकअप से सत्यापित करना अनिवार्य पुनर्प्राप्ति चरण बन जाता है। यहाँ के तथ्य Cisco की सलाह (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), CISA KEV कैटलॉग (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html), और बैच-पैमाने के आँकड़ों के लिए The CyberSec Guru (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass) पर आधारित हैं। विश्लेषण को रिपोर्टिंग से अलग रखा गया है।