Bypass autentikasi berkeparahan maksimum menghantam otoritas identitas itu sendiri — Cisco ISE CVE-2026-76460 dan pola berulang kompromi root pada appliance batas
Bypass autentikasi Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) sedang dieksploitasi secara aktif. CISA menambahkannya ke katalog KEV pada 16 September dengan tenggat remediasi federal 19 September; tidak ada workaround dan iACLs hanya mitigasi. Kami menelaah pola kompromi root pada appliance batas — yang berjalan sejajar dengan zero-day Secure Email Gateway (CVE-2026-76461) yang diungkap 14 September — dan apa artinya ketika log milik appliance yang terkompromi berhenti menjadi sumber primer.
Artikel ini diterjemahkan oleh mesin.
Pada 16 September 2026, Cisco mengungkap CVE-2026-76460, kerentanan bypass autentikasi pada Cisco Identity Services Engine (ISE) dan ISE Passive Identity Connector, dengan skor CVSS 3.1 maksimum sebesar 10.0. Akar penyebabnya adalah kontrol autentikasi yang tidak memadai pada sebuah endpoint API: penyerang jarak jauh tanpa autentikasi yang mengirim permintaan yang disusun dapat melewati autentikasi antarmuka manajemen web dan memperoleh akses tanpa izin ke perangkat. Cisco mengatakan pihaknya 'mengetahui adanya eksploitasi aktif' tetapi belum menerbitkan siapa yang ada di baliknya atau apa yang dilakukan penyusup setelahnya. Semua rilis dari 3.1 hingga 3.5 terpengaruh terlepas dari konfigurasi; perbaikan dikirim sebagai 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, dan 3.5 Patch 4. Versi 3.0, yang sudah melewati End of Software Maintenance, tidak memiliki jalur patch — migrasi adalah satu-satunya rute (advisori Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco menyatakan dengan jelas bahwa 'tidak ada workaround yang mengatasi kerentanan ini,' dengan menawarkan infrastructure ACLs (iACLs) sebagai mitigasi sementara untuk membatasi lalu lintas management-plane dan control-plane hanya pada sumber yang diperlukan — pembedaan yang penting, karena iACLs mengurangi paparan tanpa memperbaiki endpoint yang rentan. Tentang deteksi, Cisco memperingatkan bahwa eksploitasi yang berhasil dapat menghasilkan eksekusi perintah tingkat root, yang berarti bukti dan IoC dapat dihapus atau disembunyikan oleh penyerang. Cisco merekomendasikan meninjau access.log pada setiap node penerapan terdistribusi — `show logging application ise-kong/access.log | include dummyuser` untuk memunculkan nama pengguna yang tidak terduga — serta melakukan re-image pada node dan memulihkan dari cadangan konfigurasi jika entri berbahaya muncul. CISA menambahkan CVE ini ke katalog KEV-nya pada 16 September, menetapkan tenggat remediasi 19 September bagi lembaga federal (menurut The Hacker News dan CISA).
Analisis (dipisahkan dari fakta): ini adalah insiden 'bidang manajemen publik menuju root' yang kedua, yang Cisco jalankan secara sejajar pekan ini. Pada zero-day Secure Email Gateway CVE-2026-76461 (diungkap 14 September), root dicapai melalui injeksi SQL pada kode parsing, sedangkan CVE-2026-76460 tiba melalui API manajemen yang autentikasinya dilewati — pintu yang berbeda, tujuan yang sama: kompromi total sebuah appliance batas. ISE berada di pusat keputusan akses jaringan perusahaan, mengagregasi data identitas, kebijakan, dan kontrol akses; ketika ia jatuh ke root, seluruh rantai kepercayaan di belakangnya ikut tertangkap. Menurut hitungan The CyberSec Guru, batch September Cisco mencakup 77 CVE (41 menyentuh ISE, 28 Secure Firewall), termasuk bypass autentikasi REST API ISE yang terpisah dengan CVSS 10.0, CVE-2026-76423. Batch yang mencampur butir 'dieksploitasi secara aktif' dan 'tidak ada bukti eksploitasi' dengan sendirinya merupakan masalah triase.
Implikasi defensif: (1) Jika Anda mengoperasikan ISE/ISE-PIC, menerapkan patch yang sesuai adalah perubahan prioritas tertinggi pekan ini; pemasangan 3.0 yang masih ada adalah utang teknis yang terpisah tanpa jalur perbaikan. (2) Pembatasan iACL pada bidang manajemen layak dilakukan segera, tetapi catat sebagai mitigasi, bukan remediasi. (3) Jangan biarkan deteksi bergantung semata-mata pada log milik appliance — pasangkan tinjauan `dummyuser` dengan riwayat firewall eksternal dan NetFlow untuk lalu lintas ke dan dari ISE. (4) Jika kompromi root masuk dalam perhitungan, memverifikasi integritas konfigurasi dan kebijakan appliance terhadap cadangan menjadi langkah pemulihan yang wajib. Fakta di sini bersumber dari advisori Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html), dan The CyberSec Guru untuk angka skala batch (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). Analisis dijaga terpisah dari pelaporan.