シスコは、悪用が確認されている2件目のゼロデイ脆弱性を2日連続で公表し、無関係な複数の製品にまたがる脅威への対応を顧客に迫っています。
最新のゼロデイ脆弱性であるCVE-2026-76460は最高深刻度の評価を受けており、水曜日にシスコが公表しパッチを提供する前から悪用されていました。この欠陥はシスコ Identity Services Engine(ISE)のAPIに存在し、リモートの攻撃者が認証を回避して対象デバイスを完全に制御できるようになります。
VulnCheckのシニアエクスプロイト開発者であるランドン・ライス氏はCyberScoopに対し、「ISEデバイスはネットワークアクセスポリシーを適用しているため、アプライアンス上でroot権限を取得すると、攻撃者はそのポリシーを改変し、保存されている認証情報を抽出し、ログを削除し、ISEが制御するあらゆるネットワークセグメントへ横方向に侵入できるようになる」と述べています。
シスコは、これまでに何件の組織が侵害を受けたかは明らかにしていませんが、テクニカルサポートの案件対応中にこの脆弱性を発見したと報告しています。
シスコの広報担当者は声明で、「シスコはこの脆弱性が実際に悪用されていることを確認しています。顧客の皆様には、提供済みの修正版ソフトウェアへのアップグレードと、アドバイザリに記載されたガイダンスの順守を強く推奨します」と述べています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、シスコの公表直後にこのゼロデイ脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加しました。
研究者らは、CVE-2026-76460を悪用した攻撃を特定の既知のグループや脅威アクターに紐付けてはいませんが、ライス氏はシスコISEの脆弱性が繰り返し標的にされていると指摘しています。
同製品に影響する複数の脆弱性は2025年6月以降悪用されており、CVE-2025-20337やCVE-2025-20281が含まれます。今回の最新のゼロデイ脆弱性と、2025年夏に公表された2件の欠陥は、いずれも最高評価の10点でクリティカルと評価されています。
シスコはCVE-2026-76460の悪用が最初に確認された時期については言及していませんが、今回の公表は、シスコがCisco Secure Email Gatewayで悪用中のゼロデイ脆弱性であるCVE-2026-76461を公表してからわずか2日後のことでした。
今週公表された2件のゼロデイ脆弱性はCVE識別番号が連番になっていますが、両者に関連性や技術的な共通点があることを示す証拠はない、とライス氏は述べています。同氏は「これらは製品も脆弱性の種類も異なり、関連性はない」と付け加えています。
シスコの広報担当者もこの見解に同意しています。同担当者は「CVEは早い者勝ちの原則で割り当てられるため、連番になっているのは両者の関連性ではなく、単に割り当て順序を反映しているに過ぎない。CVE-2026-76460とCVE-2026-76461は異なるコードベースに影響するものだ」と付け加えています。
シスコは、顧客が自社環境内で悪用の試みを調査できるよう侵害指標(IoC)を公開しており、この脆弱性に対する回避策は存在しないとしています。
翻訳元: https://cyberscoop.com/cisco-ise-zero-day-cve-2026-76460/
