Cisco пусна актуализации за сигурност, за да отстрани уязвимост от максимална степен на опасност в Identity Services Engine, която атакуващите активно експлоатират в реална среда.
Cisco ISE е централизирана платформа за политики, която ИТ администраторите използват за управление на крайни устройства, потребители и достъп на устройства до мрежови ресурси, често при прилагане на модели за сигурност Zero Trust.
Недостатъкът в сигурността (проследяван като CVE-2026-76460) позволява на отдалечени атакуващи да заобиколят автентификацията, като експлоатират слабост в API на Cisco Identity Services Engine (ISE) и Cisco ISE Passive Identity Connector (ISE-PIC) независимо от конфигурацията.
„Тази уязвимост се дължи на недостатъчен контрол на автентификацията в API крайна точка. Атакуващ би могъл да експлоатира тази уязвимост, като изпрати форматирана заявка към засегнатата API крайна точка“, обясняват от компанията. „Успешното експлоатиране би могло да позволи на атакуващия да получи неоторизиран достъп до засегнатото устройство чрез заобикаляне на уеб базирания интерфейс за управление.“
Cisco също така предупреди клиентите в сряда да защитят системите си, тъй като нейната група за реагиране при инциденти с поддръжката на продукти (PSIRT) маркира CVE-2026-76460 като активно експлоатирана.
„Cisco PSIRT разполага с информация за активно експлоатиране на тази уязвимост. Cisco горещо препоръчва на клиентите да преминат към коригирана версия на софтуера, за да отстранят тази уязвимост.“
Тъй като не съществуват заобиколни решения, инсталирането на корекциите за сигурност е единствената препоръчителна мярка за защита на мрежите от текущите атаки.
| Cisco ISE or ISE-PIC Release | First Fixed Release |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Cisco сподели индикатори за компрометиране и посъветва екипите по сигурност да проверят за съмнителни потребителски имена във файловете access.log на всеки възел, като „настойчиво“ препоръча повторно инсталиране на операционната система (re-imaging) на възлите и възстановяването им от архивни копия, ако се подозира злонамерена дейност.
Администраторите трябва също така да кръстосат данните от дневниците на защитните стени и мрежата за признаци на съмнителна дейност (включително изтегляния и качвания от и към външни или злонамерени IP адреси), тъй като атакуващите могат да премахнат доказателствата за експлоатация, след като получат изпълнение на команди с root привилегии.
Вчера Cisco отстрани втора уязвимост за заобикаляне на автентификацията с максимална степен на опасност (CVE-2026-76423) и пет други критични проблема със сигурността (проследявани като CVE-2026-76460, CVE-2026-20176, CVE-2026-20211, CVE-2026-20307 и CVE-2026-20284) в Cisco ISE и Cisco ISE-PIC, но за тях все още няма данни да се експлоатират активно.
Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) също нареди на федералните агенции да отстранят уязвимостта CVE-2026-76460 в системите си в срок от три дни, след като я добави към своя каталог с известни експлоатирани уязвимости (KEV) в сряда.
През юли 2025 г. киберпрестъпници експлоатираха друга zero-day уязвимост в Cisco ISE (CVE-2025-20337) с максимална степен на опасност при атаки за отдалечено изпълнение на код, за да внедрят персонализиран уеб шел „IdentityAuditAction“, маскиран като легитимен компонент на ISE.
През последните пет години CISA е обозначила 99 уязвимости в сигурността на продукти на Cisco като активно експлоатирани в атаки, включително седем, използвани при атаки със зловреден софтуер за откуп (ransomware).