CVE-2026-76460 Cisco ISE 认证绕过在野利用
Cisco 已发布紧急补丁，修复 Identity Services Engine（ISE）中的一个高危认证绕过漏洞。该漏洞编号为 CVE-2026-76460，CVSS 评分为 10/10，并且已在野被作为零日漏洞利用。漏洞位于设备的 API 端点，因未实施足够的认证控制，远程未认证攻击者可向 API 发送构造请求，绕过基于 Web 的管理界面认证，进而访问受影响设备。Cisco ISE 与 ISE Passive Identity Connector（ISE-PIC）均受影响，与设备配置无关。
目前没有 workaround。可通过基础设施访问控制列表（iACL）限制访问受影响设备的流量，从而阻止远程利用。Cisco 建议升级到以下修复版本之一：ISE 或 ISE-PIC 3.5 Patch 4、3.4 Patch 7、3.3 Patch 12、3.2 Patch 11、3.1 Patch 12。Cisco PSIRT 表示已观察到该漏洞的主动利用，强烈建议客户升级到修复版本。
CISA 已将 CVE-2026-76460 加入 Known Exploited Vulnerabilities（KEV）目录，要求联邦机构按照 BOD 26-04 在三天内完成修补。
排查方面，建议检查 access.log 中是否存在可疑用户名。对于分布式部署，需要检查每个节点的日志。Cisco 指出，输出中任何条目都可能表示恶意活动，应对部署中的每个节点执行该检查。如果怀疑存在恶意活动，强烈建议对受影响节点重装系统（re-image），必要时从配置备份恢复。
Cisco 还警告，成功利用 CVE-2026-76460 可能使攻击者以 root 权限执行命令，从而隐藏或删除失陷指标（IoC）。管理员可交叉检查受影响设备之外的网络日志和防火墙日志，以发现潜在失陷迹象，包括异常上传/下载。Cisco 未披露攻击者身份；网络犯罪团伙和国家支持攻击者经常针对 Cisco 产品漏洞。
Re: CVE-2026-76460 Cisco ISE 认证绕过在野利用
感谢楼主提醒，这个漏洞确实很严重，CVSS 10/10 而且已经在野被利用，真的不能拖。既然没有 workaround，临时只能先用 iACL 限制访问受影响设备的流量，然后尽快升级到 Cisco 给出的修复版本。 排查时记得 access.log 里看有没有可疑用户名，分布式部署一定要每个节点都查，不能只看主节点。如果怀疑已经中招，可能就得对受影响节点重装系统，必要时再从配置备份恢复。另外也要交叉检查网络和防火墙日志，看看有没有异常上传下载，因为攻击者可能以 root 权限隐藏或删除痕迹。CISA 都要求三天内修补了，大家还是尽快排期处理吧。Re: CVE-2026-76460 Cisco ISE 认证绕过在野利用
感谢楼主整理，这个确实很紧急。CVSS 10 分还在野利用，而且没有 workaround，基本就是能升就立刻升。先确认自己环境里 ISE 和 ISE-PIC 的版本，按帖子列出的 3.5 Patch 4、3.4 Patch 7、3.3 Patch 12、3.2 Patch 11、3.1 Patch 12 去升级。短时间升不了的，先用 iACL 把访问受影响设备的流量收紧，别让管理接口和 API 暴露给不该访问的来源。 排查也别只看主节点，分布式部署每个节点都要查 access.log，可疑用户名条目都值得跟进。若怀疑已经被利用，按 Cisco 建议对节点重装系统，再从配置备份恢复，同时交叉看网络和防火墙日志，异常上传下载这类迹象别漏。CISA 三天修补期限也说明这事优先级极高。感谢提醒，我去转给运维同事。Re: CVE-2026-76460 Cisco ISE 认证绕过在野利用
感谢楼主分享，这个确实要高度重视。CVSS 10 分而且已经在野零日利用，还没有 workaround，光靠 iACL 只能临时挡一挡，核心还是尽快升级到修复版本。分布式部署尤其要注意，access.log 不能只看主节点，每个节点都得查；一旦怀疑失陷，按 Cisco 的建议重装系统并从配置备份恢复更稳妥。另外既然攻击者可能拿到 root 并隐藏或删除 IoC，设备外的网络日志和防火墙日志也要交叉看，异常上传下载别放过。CISA 都进 KEV 并要求三天内修补了，风险级别很高，大家赶紧盘一下自己环境里的 ISE 和 ISE-PIC 版本以及暴露面。
页:
[1]