Cisco випустила патчі для усунення активної уразливості, що дозволяла обійти аутентифікацію ISE

Компанія Cisco опублікувала виправлення для вразливості найвищого рівня серйозності в Identity Services Engine (ISE) та ISE Passive Identity Connector, яка дозволяє віддаленому зловмиснику обійти аутентифікацію на кінцевій точці API. Згідно з первинним звітом, власна команда Cisco з реагування на інциденти підтвердила активне використання цієї уразливості, а CISA додала цю проблему до свого каталогу «Відомі уразливості, що експлуатуються», встановивши триденний термін для встановлення виправлень для федеральних агентств США. Обхідних рішень немає — оновлення є єдиним засобом усунення проблеми, який пропонує Cisco.

Що сталося

Уразливість, що має ідентифікатор CVE-2026-76460, пов’язана з недостатнім контролем автентифікації на кінцевій точці API ISE. Спеціально сформованого запиту достатньо, щоб отримати доступ до веб-інтерфейсу управління без дійсних облікових даних, і у звіті зазначається, що це працює незалежно від конфігурації пристрою. Виправлені версії вказані за гілками: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 та 3.5 Patch 4.

Компанія Cisco опублікувала індикатори компрометації та рекомендує перевіряти файл access.log на кожному вузлі на наявність підозрілих імен користувачів. У разі підозри на компрометацію рекомендація є категоричною: перевстановити ОС на вузлах та відновити дані з резервних копій. Оскільки успішне використання уразливості може призвести до виконання команд на рівні root, зловмисники могли видалити локальні сліди, тому слід провести перехресну перевірку журналів брандмауера та мережі на наявність несподіваних передач даних до або з зовнішніх адрес.

Це є частиною більшої серії. У звіті зазначено, що напередодні Cisco виправила другу уразливість найвищого рівня небезпеки, пов’язану з обходом аутентифікації (CVE-2026-76423), та п’ять інших критичних уразливостей ISE; наразі не зафіксовано випадків їх експлуатації. Подібна уразливість «нульового дня» в ISE, виявлена в липні 2025 року, використовувалася для встановлення веб-шелу, замаскованого під легітимний компонент.

Чому це важливо

ISE — це не периферійна система. Вона визначає, які користувачі та пристрої отримують доступ до мережі, і в багатьох організаціях є точкою контролю, що лежить в основі архітектури «Zero Trust». Обхід аутентифікації в цій системі не просто ставить під загрозу одне обладнання — він підриває довіру до компонента, на який покладаються інші засоби контролю. Для невеликих команд практична проблема полягає в тому, що такі пристрої часто встановлюються один раз, глибоко інтегруються, а потім залишаються на щорічному циклі технічного обслуговування. Такий цикл не витримує підтвердженого експлойта, що поширюється в мережі.

Друга складність — докази. Доступ на рівні root означає, що локальні журнали не можна вважати авторитетними, тому якщо у вас немає системи зберігання журналів поза пристроєм, ви, можливо, не зможете з упевненістю відповісти на питання «чи зазнали ми атаки?». Це перетворює завдання з встановлення виправлень на набагато дорожче рішення щодо повної перебудови системи.

Що робити

• Визначте кожен вузол ISE та ISE-PIC, включаючи екземпляри в лабораторії та резервні, і перейдіть на фіксований рівень патчів для вашого філіалу. Сплануйте встановлення всього пакету критичних виправлень за один проміжок часу, а не лише цього CVE.
• Перед оновленням або під час нього перегляньте файл access.log на кожному вузлі, зіставляючи його з опублікованими Cisco індикаторами, а також перевірте журнали брандмауера та мережі на наявність незвичайного вихідного трафіку з пристроїв.
• Переконайтеся, що у вас є робочі, перевірені резервні копії та задокументований шлях відновлення образу. Якщо активність виглядає підозрілою, розглядайте відновлення з резервної копії як стандартний варіант, а не як запасний.
• Переконайтеся, що інтерфейси управління ISE та аналогічних пристроїв недоступні з ненадійних мереж, а їхні журнали надсилаються до системи поза межами самого пристрою.