Обход аутентификации максимальной тяжести бьёт по самой инстанции удостоверений — Cisco ISE CVE-2026-76460 и повторяющийся шаблон компрометации root граничного устройства
Обход аутентификации Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) находится под активной эксплуатацией. CISA добавила его в каталог KEV 16 сентября с федеральным сроком устранения 19 сентября; обходного пути нет, а iACL являются лишь смягчением. Мы рассматриваем шаблон компрометации root граничного устройства — параллельно с zero-day Secure Email Gateway (CVE-2026-76461), раскрытым 14 сентября, — и что это значит, когда собственные журналы скомпрометированного устройства перестают быть первичным источником.
Эта статья была переведена машиной.
16 сентября 2026 года Cisco раскрыла CVE-2026-76460, уязвимость обхода аутентификации в Cisco Identity Services Engine (ISE) и ISE Passive Identity Connector, с максимальной оценкой CVSS 3.1, равной 10.0. Корневая причина — недостаточный контроль аутентификации на конечной точке API: удалённый неаутентифицированный атакующий, отправив специально составленный запрос, может обойти аутентификацию веб-интерфейса управления и получить несанкционированный доступ к устройству. Cisco говорит, что «осведомлена об активной эксплуатации», но не опубликовала, кто за этим стоит и что нарушители сделали впоследствии. Все выпуски с 3.1 по 3.5 затронуты независимо от конфигурации; исправления выходят как 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4. Версия 3.0, уже прошедшая End of Software Maintenance, не имеет пути исправления — миграция является единственным путём (рекомендация Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco прямо заявляет, что «нет обходных путей, которые устраняют эту уязвимость», предлагая инфраструктурные ACL (iACL) как временное смягчение, чтобы ограничить трафик плоскости управления и плоскости контроля только необходимыми источниками — различие существенно, поскольку iACL снижают экспозицию, не исправляя уязвимую конечную точку. В части обнаружения Cisco предупреждает, что успешная эксплуатация может дать выполнение команд на уровне root, а значит доказательства и индикаторы компрометации могут быть удалены или скрыты атакующим. Рекомендуется просматривать access.log на каждом узле распределённого развёртывания — `show logging application ise-kong/access.log | include dummyuser`, чтобы выявить неожиданные имена пользователей, — и заново записывать образ узлов и восстанавливать из резервной копии конфигурации, если появляются вредоносные записи. CISA добавила этот CVE в свой каталог KEV 16 сентября, установив срок устранения 19 сентября для федеральных ведомств (по The Hacker News и CISA).
Анализ (отделён от фактов): это второй на этой неделе инцидент «от публичной плоскости управления к root», который Cisco ведёт параллельно. Там, где zero-day Secure Email Gateway CVE-2026-76461 (раскрыт 14 сентября) достигает root через внедрение SQL в коде разбора, CVE-2026-76460 приходит через API управления с обойдённой аутентификацией — разные двери, одно назначение: полная компрометация граничного устройства. ISE стоит в центре решений о доступе к сети предприятия, собирая данные удостоверений, политики и контроля доступа; когда оно падает до root, вся цепочка доверия за ним захватывается вместе с ним. По подсчёту The CyberSec Guru, сентябрьский пакет Cisco охватывает 77 CVE (41 касается ISE, 28 — Secure Firewall), включая отдельный обход аутентификации REST API ISE с оценкой CVSS 10.0, CVE-2026-76423. Пакет, в котором смешаны пункты «активно эксплуатируется» и «нет свидетельств эксплуатации», сам по себе является проблемой сортировки.
Выводы для защиты: (1) Если вы эксплуатируете ISE/ISE-PIC, применение соответствующей заплатки — изменение наивысшего приоритета на этой неделе; остающиеся установки 3.0 являются отдельным техническим долгом без пути исправления. (2) Ограничение плоскости управления через iACL стоит сделать немедленно, но фиксируйте его как смягчение, а не как устранение. (3) Не ставьте обнаружение в зависимость только от собственных журналов устройства — сочетайте просмотр `dummyuser` с внешней историей firewall и NetFlow для трафика к ISE и от ISE. (4) Если компрометация root рассматривается, проверка целостности конфигурации и политики устройства по резервным копиям становится обязательным шагом восстановления. Факты здесь опираются на рекомендацию Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), каталог KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) и The CyberSec Guru по цифрам масштаба пакета (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). Анализ отделён от изложения.