4 Min Read
Ciscoは今週、同社のIdentity Services Engine（ISE）に影響する多数の重大なセキュリティ脆弱性を公表しました。その中には、すでに悪用が確認されている最高深刻度のゼロデイ脆弱性も含まれています。
CVE-2026-76460は、Ciscoのネットワークアクセス制御・ゼロトラストソリューションであるISEのAPIに影響を及ぼす認証バイパスの脆弱性です。同社によると、この脆弱性はISEのAPIエンドポイントにおける「認証制御の不備」に起因しているとのことです。
Ciscoは同社のアドバイザリの中で、「攻撃者は、影響を受けるAPIエンドポイントに細工したリクエストを送信することでこの脆弱性を悪用できる可能性があります」と説明しています。「悪用に成功すると、攻撃者はWebベースの管理インターフェースを回避し、影響を受けるデバイスに不正アクセスできるようになります」
この脆弱性は水曜日に公表・修正され、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も同日、この脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。Ciscoはまた、ISEおよびISE Passive Identity Connector（ISE-PIC）に影響を及ぼす、同様のAPI認証問題を抱えた複数の他の脆弱性も公表・修正しています。
CVE-2026-76460を誰が悪用しているのか、またその活動がどの程度広範囲に及んでいるのかは、現時点では不明です（Dark ReadingはCiscoにコメントを求めましたが、本稿執筆時点で同社からの回答はありませんでした）。しかし、このゼロデイ攻撃は、このネットワーキング大手をはじめ、業界全体でAPI認証の問題が広がっている傾向を浮き彫りにしています。
「APIエンドポイントの認証欠如は、業界全体に共通する問題です」と、SANS Internet Storm Centerの創設者であるヨハネス・ウルリッヒ氏はDark Readingに語っています。理論上、APIエンドポイントへの各リクエストは適切に認証・アクセス制御されるべきですが、実際には必ずしもそうなっていません。
「以前は外部から直接アクセスできなかったAPIが公開されるケースがあり、その過程で適切な認証やアクセス制御が省略されてしまうことがあります」とウルリッヒ氏は指摘します。「より現代的なWebアプリケーションのインターフェースをサポートするために、より広範なAPIが公開されるようになるにつれ、こうした事態は容易に起こり得ます」
ISEのゼロデイ脆弱性、ネットワーク全体をリスクにさらす
CVE-2026-76460が特に危険視されているのには、いくつかの理由があります。まず、悪用に成功すると、認証もユーザーの操作も一切必要とせずに、攻撃者は脆弱なインスタンス上でroot権限とコマンド実行権限を取得できます。
さらに重要なのは、ウルリッヒ氏が説明するように、ISE自体が他のCisco APIの認証・アクセス制御に利用されている点です。そのため、ISEを侵害した攻撃者は同ソリューションを無効化し、さまざまなネットワークにアクセスしたり、他のホストになりすましたりすることが可能になります。侵害されたISEプラットフォームのアクセス制御判断に、アプリケーション側が依存するようになる可能性があるため、これがさらなる侵害につながりかねないと同氏は述べています。
「簡単に言えば、ビルの警備員を偽物にすり替えるようなものです。偽の身分証明書を使って侵入者が入館できてしまいます」とウルリッヒ氏は述べています。「ビル内の従業員は、入口の警備員が確認済みだと信じているため、こうした身分証明書を信用してしまいます」
脅威インテリジェンス企業BitSightは、CVE-2026-76460に関するアドバイザリの中で、ISEが多くの組織のIDおよびネットワークアクセス基盤の中核を担っていると指摘しています。Bitsightのシニア脅威インテリジェンスアドバイザーであるエマ・スティーブンス氏は、「ISEは、どのユーザーやデバイスがネットワークに接続できるか、そして接続後に何にアクセスできるかを判断するのに役立っています」と記しています。「その基盤へのroot権限アクセスは、はるかに広い環境全体にわたって、可視性、完全性、可用性のリスクを引き起こしかねません」
ウルリッヒ氏によると、APIエンドポイントの認証に関する脆弱性はCisco製品にとって以前から課題となっており、今年に入ってからも同様の脆弱性が2件公表されているといいます。1つ目のCVE-2026-20223は、Cisco Secure Workloadの内部REST APIにおける認証不備の脆弱性で、5月に公表されたこの脆弱性も、CVSSスコアで満点となる10.0を記録しました。
2つ目のCVE-2026-20129は、Cisco Catalyst SD-WAN Managerに影響を及ぼす重大なAPI認証バイパスの脆弱性で、CVSSスコアは9.8でした。2月に公表されたこの脆弱性は、攻撃者がnetadminロールの権限でコマンドを実行できてしまう恐れがあるというものでした。
CVE-2026-76460-Exploitation">CVE-2026-76460の悪用を緩和するには
CVE-2026-76460は、デバイスの設定にかかわらず、ISEおよびISE-PICに影響を及ぼします。CiscoはISEおよびISE-PICのバージョン3.1から3.5向けにパッチを公開していますが、バージョン3.0はすでにサポート対象外であるとし、顧客に対して修正済みバージョンへのアップグレードを推奨しています。
Ciscoによると、インフラストラクチャアクセスコントロールリスト（iACL）を使用し、影響を受けるデバイスへの管理・制御プレーントラフィックのうち必要なもののみを許可することで、CVE-2026-76460のリモートからの悪用をある程度緩和できるとしています。ただし、こうした緩和策はあくまで一時的な対処にすぎないとして、顧客に対してはISEまたはISE-PICの修正済みバージョンへの移行を強く求めています。
さらに同社は、CVE-2026-76460の悪用に成功した脅威アクターは、これらの製品に対してroot権限を取得できるようになり、悪用の証拠や侵害の痕跡（IoC）を削除・隠蔽できてしまう点を強調しています。
Ciscoはアドバイザリの中で、「管理者は、影響を受けるデバイスから外部IPアドレスへの予期しないアップロードや、悪意のあるIPアドレスからのダウンロードなど、不審な活動の兆候がないかを確認するため、影響を受けたデバイス以外のネットワークログおよびファイアウォールログを必ず突き合わせて確認することを強く推奨します」と述べています。
