CVE-2026-76460 Cisco ISE 认证绕过在野利用

资讯专家

Cisco 已发布紧急补丁，修复 Identity Services Engine（ISE）中的一个高危认证绕过漏洞。该漏洞编号为 CVE-2026-76460，CVSS 评分为 10/10，并且已在野被作为零日漏洞利用。

漏洞位于设备的 API 端点，因未实施足够的认证控制，远程未认证攻击者可向 API 发送构造请求，绕过基于 Web 的管理界面认证，进而访问受影响设备。Cisco ISE 与 ISE Passive Identity Connector（ISE-PIC）均受影响，与设备配置无关。

目前没有 workaround。可通过基础设施访问控制列表（iACL）限制访问受影响设备的流量，从而阻止远程利用。Cisco 建议升级到以下修复版本之一：ISE 或 ISE-PIC 3.5 Patch 4、3.4 Patch 7、3.3 Patch 12、3.2 Patch 11、3.1 Patch 12。Cisco PSIRT 表示已观察到该漏洞的主动利用，强烈建议客户升级到修复版本。

CISA 已将 CVE-2026-76460 加入 Known Exploited Vulnerabilities（KEV）目录，要求联邦机构按照 BOD 26-04 在三天内完成修补。

排查方面，建议检查 access.log 中是否存在可疑用户名。对于分布式部署，需要检查每个节点的日志。Cisco 指出，输出中任何条目都可能表示恶意活动，应对部署中的每个节点执行该检查。如果怀疑存在恶意活动，强烈建议对受影响节点重装系统（re-image），必要时从配置备份恢复。

Cisco 还警告，成功利用 CVE-2026-76460 可能使攻击者以 root 权限执行命令，从而隐藏或删除失陷指标（IoC）。管理员可交叉检查受影响设备之外的网络日志和防火墙日志，以发现潜在失陷迹象，包括异常上传/下载。Cisco 未披露攻击者身份；网络犯罪团伙和国家支持攻击者经常针对 Cisco 产品漏洞。