Ciscoは、Identity Services Engineに存在する最大深刻度の脆弱性に対処するセキュリティ更新をリリースしました。この脆弱性は現在、攻撃者に実際に悪用されています。
Cisco ISEは、IT管理者がエンドポイントやユーザー、ネットワークリソースへのデバイスアクセスを管理するために使用する集中型ポリシープラットフォームで、多くの場合ゼロトラストのセキュリティモデルを実現するために利用されています。
この脆弱性（CVE-2026-76460として追跡）は、Cisco Identity Services Engine（ISE）およびCisco ISE Passive Identity Connector（ISE-PIC）のAPIに存在する弱点を利用することで、設定にかかわらず遠隔の攻撃者が認証を回避できるというものです。
「この脆弱性は、APIエンドポイントにおける認証制御が不十分であることに起因します。攻撃者は、影響を受けるAPIエンドポイントに対して巧妙に作成したリクエストを送信することで、この脆弱性を悪用できます」と同社は説明しています。「悪用に成功すると、攻撃者はWebベースの管理インターフェースを回避し、影響を受けるデバイスへ不正にアクセスできる可能性があります」。
Ciscoは水曜日、同社のProduct Security Incident Response Team（PSIRT）がCVE-2026-76460を実際に悪用されている脆弱性としてフラグ付けしたことを受け、顧客に対してシステムの保護を求める警告も発しました。
「Cisco PSIRTは、この脆弱性が実際に悪用されていることを確認しています。Ciscoは、この脆弱性を修正するため、修正済みのソフトウェアリリースへのアップグレードを強く推奨します」。
回避策は存在しないため、進行中の攻撃からネットワークを守るには、セキュリティ更新を適用することが唯一の推奨対応となります。
| Cisco ISEまたはISE-PICのリリース | 最初に修正されたリリース |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Ciscoは侵害の痕跡（IOC）を公開し、セキュリティチームに対し、各ノードのaccess.logファイル内に不審なユーザー名がないか確認するよう助言しました。また、悪意のある活動が疑われる場合は、該当するノードを再イメージ化し、バックアップから復元することを「強く」推奨しています。
管理者は、ファイアウォールやネットワークのログも併せて確認し、不審な活動の兆候（外部や悪意のあるIPアドレスとの間で行われたダウンロードやアップロードなど）がないか調べる必要があります。攻撃者はroot 権限でのコマンド実行を得た後、悪用の証拠を消去する可能性があるためです。
Ciscoは前日にも、2件目となる最大深刻度の認証バイパスの脆弱性（CVE-2026-76423）と、その他5件の重大なセキュリティ問題（CVE-2026-76460、CVE-2026-20176、CVE-2026-20211、CVE-2026-20307、CVE-2026-20284として追跡）をCisco ISEおよびCisco ISE-PICに対して修正していますが、これらについては現時点では実際に悪用されているとの報告はありません。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）も、水曜日にCVE-2026-76460を既知の悪用された脆弱性（KEV）カタログに追加したことを受け、連邦機関に対してこの脆弱性に対するシステムの修正を3日以内に行うよう命じました。
2025年7月には、脅威関係者が別のCisco ISEゼロデイ（CVE-2025-20337）を最大深刻度スコアで悪用し、リモートコード実行攻撃を通じて、正規のISEコンポーネントを装った独自のWebシェル「IdentityAuditAction」を展開していました。
過去5年間で、CISAは Cisco製品における99件のセキュリティ脆弱性を実際に悪用されたものとしてタグ付けしており、そのうち7件はランサムウェア攻撃で悪用されていました。
