Ciscoは、Cisco Identity Services Engine(ISE)およびCisco ISE Passive Identity Connector(ISE-PIC)に関する重大な認証バイパスの脆弱性について、緊急のセキュリティ勧告を発表しました。
この脆弱性はCVE-2026-76460として追跡されており、CVSSスコアは最大値の10.0となっています。認証されていないリモート攻撃者が、脆弱なデバイスへ不正アクセスできる可能性があります。
Ciscoの勧告cisco-sa-ISE-ABP-VNSW7Tn5では、この脆弱性の詳細が説明されており、2026年9月16日に公開されました。Ciscoはこの問題に対応するソフトウェアアップデートをすでにリリースしていますが、現時点で回避策は提供されていません。そのため、管理者は影響を受ける環境へのパッチ適用を最優先で行う必要があります。
Cisco ISEの重大な脆弱性
Ciscoによると、この問題は、影響を受けるISEおよびISE-PICインスタンスが公開しているAPIエンドポイントにおける認証制御の不備に起因しています。攻撃者は、このエンドポイントに特別に細工したリクエストを送信することで、Webベースの管理インターフェースの認証保護をバイパスできます。
この脆弱性が悪用された場合、有効な認証情報を持たないリモート攻撃者が、影響を受けるシステムへ不正アクセスできるようになります。Ciscoはこの問題をCWE-648(特権APIまたは認証メカニズムの不適切な使用)に分類しています。
脆弱性発見サービス
CVSS v3.1ベクターは以下の通りです。CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
このスコアは、ネットワーク経由で攻撃可能であること、攻撃条件の複雑さが低いこと、特権が不要であること、ユーザー操作が不要であることを反映しています。この脆弱性は、ISEアプライアンスの機密性・完全性・可用性に影響を及ぼす可能性があり、スコープの変更は、侵害が脆弱なコンポーネントの範囲を超えて拡大しうることを示しています。
影響を受けるCisco製品
Ciscoが確認したところによると、この脆弱性はデバイスの構成にかかわらず、Cisco ISEとCisco ISE-PICの両方に影響します。ISE-PICは、エンタープライズディレクトリや認証システムから得られるID情報を、セキュリティ製品やアクセス制御のワークフローに統合するために使用されます。
管理者は、Ciscoの勧告にあるFixed Softwareのセクションを確認し、自社が導入しているリリースが脆弱かどうか、また適切なアップグレード経路を確認する必要があります。この脆弱性にはCisco Bug ID CSCww39530が割り当てられています。
回避策が存在しないため、管理インターフェースの外部公開を制限するだけでは、Ciscoのソフトウェアアップデート適用の代わりにはなりません。組織はまず、インターネットに公開されている、外部からアクセス可能な、あるいは内部からアクセス可能なISE管理インスタンスを洗い出したうえで、その露出度とビジネス上の重要度に基づいてパッチ適用の優先順位を決めるべきです。
Ciscoは、悪用の試みを特定するためのガイダンスも提供しています。管理者は、access.logファイルを確認し、APIリクエストに紐づく想定外のアカウント名など、不審なユーザー名がないか調査する必要があります。
Ciscoが示しているコマンド例は以下の通りです。
admin#show logging application ise-kong/access.log | include dummyuser分散構成のISE環境では、防御担当者はプライマリの管理ノードだけでなく、すべてのノードのログを確認する必要があります。追加のアクセスログは、デバッグログを有効にしたサポートバンドルを収集し、共有鍵暗号を使ってバンドルを復号したうえで、以下のパス配下のファイルを確認することで取得できます。
./ise/logs/apigateway/access.log..gzCiscoは、不審なユーザー名に一致するエントリが悪意ある活動を示している可能性があると警告しています。侵害が疑われる場合、Ciscoは影響を受けたノードの再イメージ化と、必要に応じて既知の正常な状態のバックアップからの構成復元を推奨しています。
さらにCiscoは、悪用に成功した場合、脅威アクターにroot権限でのコマンド&コントロール機能が付与される可能性があると警告しています。このレベルのアクセス権限があれば、攻撃者はログを改ざんしたり、フォレンジック証跡を消去したり、永続化の仕組みを確立したり、アプライアンス上での活動を隠蔽したりすることが可能になります。
そのため、防御担当者は、侵害されている可能性のあるISEデバイス上に残された証跡だけに頼るべきではありません。Ciscoは、アプライアンス上での調査結果を、外部のネットワークテレメトリ、ファイアウォールログ、プロキシ記録、DNSデータと突き合わせて相関分析することを推奨しています。
データガバナンスコンサルティング
セキュリティチームは、ISEアプライアンスから外部IPアドレスへの想定外のアップロード、不審な受信ダウンロード、異常なAPIアクティビティ、管理者アカウントの異常な挙動がないか調査すべきです。
組織は、CVE-2026-76460をID基盤に関わる最優先のインシデントとして扱うべきです。パッチ適用、全社的なログレビューの実施、外部テレメトリとの相関分析、認証情報の見直し、影響を受けたノードの再構築に向けた準備といった即時対応が、侵害発生時の影響を最小限に抑えるために不可欠です。
SOCのアラート調査時間を1件あたり21分削減。即座のIOCコンテキストでSOCの対応力を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/hackers-exploit-critical-cisco-ise-flaw/
