Ciscoは水曜日、Identity Services Engine(ISE)の重大なアクセス制御バイパス脆弱性に対する緊急パッチを公開しました。この脆弱性はすでにゼロデイとして実際の攻撃で悪用されています。
CVE-2026-76460として追跡されているこの脆弱性(CVSSスコア10/10)は、アプライアンスのAPIエンドポイントに存在するもので、十分な認証制御が適用されていないことが原因です。
この脆弱性を悪用すると、攻撃者は細工したリクエストをAPIに送信し、Webベースの管理インターフェースを回避して対象デバイスへのアクセス権を得ることが可能です。
Cisco ISEとISE Passive Identity Connector(ISE-PIC)の両方が、デバイスの設定内容に関わらず影響を受けます。回避策は存在しませんが、インフラストラクチャアクセス制御リスト(iACL)を用いて対象デバイスへのトラフィックを制限することで、リモートからの悪用を防止できます。
この不具合を解消するため、顧客はISEまたはISE-PICのバージョン3.5 Patch 4、3.4 Patch 7、3.3 Patch 12、3.2 Patch 11、あるいは3.1 Patch 12にアップグレードする必要があります。
「Cisco PSIRTはこの脆弱性が実際に悪用されていることを確認しています。Ciscoは、顧客がこの脆弱性を修正するために修正版のソフトウェアリリースへアップグレードすることを強く推奨します」と、同社はアドバイザリの中で述べています。
Ciscoは、この攻撃の背後にいる人物についての情報は公表していません。サイバー犯罪者や国家の支援を受けた脅威アクターは、同社製品の脆弱性を常に標的にしています。
侵害の可能性を調査するため、組織は「access.log」内の不審なユーザー名を確認する必要があります。分散配置の環境では、各ノードのログをそれぞれ確認する必要があります。
「出力内にエントリが存在する場合、悪意ある活動を示している可能性があります。この確認は配置されているすべてのノードで実施してください。悪意ある活動が疑われる場合は、影響を受けたノードを再イメージ化し、必要に応じて構成バックアップから復元することを強く推奨します」と同社は述べています。
さらにCiscoは、CVE-2026-76460の悪用に成功すると、攻撃者がroot権限でコマンドを実行できるようになり、侵害の痕跡(IoC)を隠蔽または削除できてしまう可能性があると警告しています。
影響を受けたデバイス以外のネットワークログやファイアウォールログを照合することで、管理者は予期しないアップロード・ダウンロードなど、侵害の可能性を発見しやすくなります。
水曜日、米国のサイバーセキュリティ機関CISAはこのゼロデイ脆弱性を既知の悪用された脆弱性(KEV)カタログに追加し、BOD 26-04の要件に基づき、連邦政府機関に対して3日以内のパッチ適用を求めています。
翻訳元: https://www.securityweek.com/active-exploitation-triggers-emergency-patch-for-cisco-ise-zero-day/
