Ciscoは、Cisco Identity Services Engine(ISE)およびCisco ISE Passive Identity Connector(ISE-PIC)に存在する認証バイパスの重大な脆弱性に対し、セキュリティアップデートをリリースしました。この脆弱性は実際の攻撃で悪用されていることが確認されています。
CVE-2026-76460として追跡されるこの脆弱性は、CVSSスコアの最大値である10.0を記録しており、認証されていないリモートの攻撃者がWebベースの管理インターフェースを回避し、最終的にはroot権限でコマンドを実行できる可能性があります。
Ciscoのアドバイザリcisco-sa-ISE-ABP-VNSW7Tn5で詳述されているこの脆弱性は、あるAPIエンドポイントにおける認証制御の不備に起因しています。
攻撃者は、この露出したエンドポイントに細工したリクエストを送信することで、有効な認証情報を持たずに影響を受けるデバイスへ不正アクセスできます。
Ciscoは、この脆弱性の悪用に成功した攻撃者がroot権限でのコマンド実行を得られる可能性があると警告しており、これによりアプライアンス全体が完全に侵害される重大なリスクが生じるとしています。
企業はCisco ISEを広く利用し、ネットワークアクセス制御やID基盤のポリシー適用、デバイスのポスチャチェック、認証ワークフローを実現しています。
そのため、ISE環境が侵害されれば、攻撃者は組織のID管理・ネットワーク制御基盤において非常に高い権限を持つ足場を得ることになりかねません。
この問題はデバイスの構成にかかわらずCisco ISEおよびCisco ISE-PICに影響するため、管理者は稼働中の全ノードを特定してパッチを適用することが急務となっています。
Ciscoの製品セキュリティインシデント対応チーム(PSIRT)は、CVE-2026-76460が実際に悪用されていることを認識していると確認しました。同社は、脅威アクターの詳細や攻撃の規模、この脆弱性を悪用する具体的なキャンペーンについては公表していません。
しかし、実際に悪用が確認されている以上、組織はこれを通常のメンテナンス更新としてではなく、直ちに対応すべきインシデント対応およびパッチ管理の最優先事項として扱う必要があります。
この脆弱性には回避策が存在しません。Ciscoは、影響を受けるシステムを修正済みリリース(ISEおよびISE-PICの3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7、または3.5 Patch 4)へアップグレードするよう推奨しています。
Cisco ISE 3.0はソフトウェアメンテナンスの終了(EoSM)を迎えているため、このバージョンを利用している顧客は修正が適用されたサポート対象バージョンへ移行する必要があります。
パッチ適用が完了するまでの間、Ciscoは影響を受けるアプライアンスに到達する管理・制御プレーンのトラフィックを制限するため、インフラストラクチャアクセス制御リスト(iACL)の利用を推奨しています。
管理インターフェースは、明示的に許可された管理用ネットワークからのみアクセス可能とすべきであり、不要な露出は排除する必要があります。
また管理者は、ise-kong/access.logファイルを確認し、不審なユーザー名や想定外の認証アクティビティがないか調査することで、悪用の可能性を検証すべきです。Ciscoは次のコマンド例を提供しています。
admin#show logging application ise-kong/access.log | include dummyuser
分散構成の環境では、セキュリティチームはすべてのISEノードでログを確認する必要があります。Ciscoが指摘しているとおり、root権限でコマンドを実行できる攻撃者はローカルの痕跡を削除・隠蔽できる可能性があるため、アプライアンスのログのみでは決定的な調査には不十分です。
防御側は、ISEシステムからの不審なアップロード、想定外の外部への接続、悪意のあるIPアドレスが関与するダウンロードがないか、外部のネットワークログ・プロキシログ・ファイアウォールログも併せて確認すべきです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チームでもぜひご検討ください
翻訳元: https://cyberpress.org/hackers-exploit-critical-cisco-ise-flaw/
