Cisco cảnh báo lỗ hổng zero-day trong ISE đang bị khai thác
"Cisco disclosed CVE-2026-76460, a CVSS 10.0 zero-day in Identity Services Engine (ISE) and ISE Passive Identity Connector that allows an unauthenticated remote attacker to bypass authentication via a crafted API request. Cisco said the flaw is being actively exploited, with no workaround available; fixed releases are available in ISE 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, and 3.5 Patch 4, and CISA added the CVE to its KEV catalog."
CVE-2026-76460 cho phép bypass authentication từ xa, không cần xác thực. Lỗ hổng đang bị khai thác chủ động và có thể dẫn tới root command execution.
ISE/ISE-PIC thường nằm trong luồng xác thực và kiểm soát truy cập, nên sự cố có thể ảnh hưởng trực tiếp đến vận hành mạng doanh nghiệp. Cần ưu tiên vá lỗi và rà soát log để giảm nguy cơ gián đoạn hoặc xâm nhập lan rộng.
Cisco đã công bố CVE-2026-76460, một lỗ hổng zero-day trong Identity Services Engine (ISE) và ISE Passive Identity Connector (ISE-PIC) với mức CVSS 10.0. Lỗi này cho phép kẻ tấn công từ xa, không cần xác thực, gửi API request được tạo đặc biệt để bypass authentication và truy cập trái phép vào thiết bị.
Theo Cisco, lỗ hổng đang bị khai thác chủ động và hiện không có workaround. Bản vá đã có sẵn trong các phiên bản: ISE 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 và 3.5 Patch 4. CISA cũng đã đưa CVE này vào KEV catalog, yêu cầu các cơ quan liên bang áp dụng bản vá theo thời hạn quy định.
Cisco khuyến nghị quản trị viên kiểm tra access.log để tìm username bất thường; nếu phát hiện dấu hiệu xâm nhập, cần re-image node bị ảnh hưởng và khôi phục từ configuration backup khi cần. Hãng cũng lưu ý rằng khai thác thành công có thể dẫn tới root command execution, vì vậy dấu vết tấn công có thể bị xóa hoặc che giấu.
Về giảm thiểu rủi ro, có thể áp dụng iACLs để chỉ cho phép lưu lượng quản trị và control plane cần thiết tới thiết bị bị ảnh hưởng.