Läget i korthet

Cisco publicerade den 16 september en kritisk säkerhetsvarning för CVE-2026-76460 i Cisco Identity Services Engine, ISE, och Cisco ISE Passive Identity Connector, ISE-PIC. Sårbarheten har CVSS 10,0 och kan utnyttjas över nätverket utan autentisering eller användarinteraktion. Ett lyckat angrepp kringgår det webbaserade managementgränssnittet och kan enligt Cisco leda till kommandokörning med root-behörighet.

Cisco PSIRT bekräftar aktiv exploatering. CISA lade samma dag till felet i katalogen Known Exploited Vulnerabilities, KEV, med åtgärdsdatum den 19 september för berörda amerikanska federala verksamheter och krav på forensisk triage. LabOps IT klassar därför händelsen som Akut för organisationer som driver berörda versioner.

Angreppet går via ett API

Felet beror på otillräcklig autentiseringskontroll i en API-slutpunkt. En fjärrangripare kan skicka ett särskilt utformat anrop och få obehörig åtkomst till enheten genom att kringgå webbgränssnittets autentisering. Attackvektorn är nätverksbaserad, komplexiteten låg och inga privilegier krävs. CVSS-vektorn anger hög påverkan på konfidentialitet, riktighet och tillgänglighet samt förändrad säkerhetsdomän.

ISE är ofta en central kontrollpunkt för nätverksåtkomst, identiteter, autentisering och policybeslut. Rootåtkomst till en sådan nod kan därför få konsekvenser långt utanför själva webbgränssnittet. Exponerade hemligheter, integrationskonton, certifikat och policyinformation måste bedömas som potentiellt komprometterade om det finns trovärdiga intrångstecken.

Incidentflödet måste omfatta varje nod: begränsa attackytan, bevara både lokala och externa loggar, patcha och bygg om system där intrång misstänks.

Berörda och korrigerade versioner

Cisco anger att både ISE och ISE-PIC påverkas oavsett enhetens konfiguration. Det innebär att frånvaro av en viss valfri tjänst inte kan användas som friskrivning. Följande nivåer är de första korrigerade utgåvorna i rådgivningen:

  • ISE eller ISE-PIC 3.1: 3.1 Patch 12.
  • Version 3.2: 3.2 Patch 11.
  • Version 3.3: 3.3 Patch 12.
  • Version 3.4: 3.4 Patch 7.
  • Version 3.5: 3.5 Patch 4.

Cisco ISE 3.0 har nått slutet för programvaruunderhåll. Installationer på 3.0 eller äldre behöver migreras till en stödd version som innehåller korrigeringen. Kontrollera aktuell nodroll, patchnivå och supportstatus för varje nod i deploymenten; en blandad miljö kan lämna en svag väg in även om primärnoden redan är uppdaterad.

Det finns ingen workaround som åtgärdar sårbarheten. Cisco beskriver dock infrastruktur-ACL:er, iACL, som en tillfällig mitigering: tillåt endast den management- och control-plane-trafik som faktiskt behöver nå enheten. Åtkomstbegränsningen minskar den fjärråtkomliga attackytan men ersätter inte patchning och gör inte en redan utnyttjad nod betrodd.

Leta efter intrång på varje nod

Cisco rekommenderar kontroll av ise-kong/access.log efter misstänkta användarnamn. Ett publicerat exempel söker efter namnet dummyuser:

show logging application ise-kong/access.log | include dummyuser

För äldre accessloggar behöver administratören samla ett supportpaket med debugloggar inkluderade, använda shared-key-kryptering och därefter granska de komprimerade filerna under ./ise/logs/apigateway/access.log.<date>.gz. Kontrollen ska göras på varje nod i en distribuerad installation. En träff kan indikera skadlig aktivitet, men exemplet är uttryckligen inte uttömmande.

Frånvaro av den kända indikatorn är inte ett säkert bevis på att systemet är rent. Rootbehörighet kan låta angriparen radera eller dölja spår. Korrelera därför ISE-loggarna med externa brandväggs-, DNS-, proxy- och nätflödesloggar. Leta efter oväntade uppladdningar från ISE till externa adresser, nedladdningar från kända eller misstänkta adresser, avvikande administrativa anrop och förändringar som inte kan knytas till ett godkänt driftärende.

Säkra loggarna före ominstallation och dokumentera tidslinjen. Om skadlig aktivitet misstänks rekommenderar Cisco att de berörda noderna avbildas på nytt och vid behov återställs från en konfigurationsbackup. En backup som skapats efter möjlig kompromettering bör inte automatiskt betraktas som betrodd utan kontroll.

Rekommenderad åtgärdsordning

  1. Inventera alla ISE- och ISE-PIC-noder, inklusive policy service-, administration-, monitoring- och sekundärnoder, samt deras version, patchnivå och nätverksexponering.
  2. Begränsa omedelbart management- och control-plane-trafik med iACL eller motsvarande nätkontroll. Tillåt bara dokumenterade administrativa källor och nödvändiga noder.
  3. Exportera och bevara loggar från varje nod. Sök efter Ciscos indikator och korrelera mot loggning utanför ISE-miljön innan större förändringar görs.
  4. Installera den korrigerade patchnivån på samtliga berörda noder enligt Ciscos uppgraderingsguide och den ordning som gäller för deploymenten. Verifiera replikering, tjänster och autentiseringsflöden efteråt.
  5. Vid misstänkt exploatering: isolera noden, aktivera incidentprocessen, kontakta Cisco TAC och planera ren ominstallation från betrodd källa i stället för att enbart patcha den komprometterade installationen.
  6. Bedöm rotation av administrativa lösenord, API-nycklar, integrationsuppgifter, certifikat och andra hemligheter som har lagrats på eller varit tillgängliga från ISE.
  7. Kontrollera beroenden efter återställningen. Testa RADIUS, TACACS+, pxGrid, katalogintegrationer, certifikatkedjor, profilering och policybeslut innan incidenten avslutas.

Driftpåverkan och förändringsplan

ISE-uppgraderingar påverkar en central autentiserings- och policyplattform. Planera patchningen så att hög tillgänglighet och nodroller bevaras, men låt inte ett normalt långsamt servicefönster skjuta upp en aktivt exploaterad CVSS 10-brist. Säkerställ färsk och verifierad konfigurationsbackup, tillräckligt lagringsutrymme, kompatibel hårdvara eller virtuell plattform och en dokumenterad återställningsväg.

Under förändringen bör driftteamet följa nodstatus, replikering, certifikat, RADIUS- och TACACS+-transaktioner samt autentiseringsfel från nätutrustning och klienter. Efter patchning ska varje nods faktiska versions- och patchnivå verifieras, inte bara deploymentens sammanfattningsvy. Genomför kontrollerade autentiseringstester för kritiska nätsegment och administrativa flöden.

Om ett avbrott kräver stegvis utrullning bör de mest exponerade noderna prioriteras, samtidigt som ACL-skydd läggs runt återstående noder. Dokumentera under vilket tidsfönster varje nod varit sårbar och vilka loggar som täcker perioden. Det underlättar både incidentbedömning och senare revision.

LabOps IT:s bedömning

CVE-2026-76460 är Akut. Kombinationen CVSS 10,0, oautentiserad nätverksåtkomst, autentiseringsförbikoppling, möjlig root-kommandokörning, aktiv exploatering och ISE:s privilegierade roll ger inget rimligt utrymme att vänta till nästa ordinarie patchcykel.

Den viktigaste praktiska skillnaden mot en vanlig patchbiljett är att arbetet måste ske i två parallella spår. Uppgraderingen stänger den kända vägen framåt, medan forensisk kontroll avgör om miljön redan har förlorat sin tillit. En organisation som bara installerar patchen kan lämna kvar beständighet eller komprometterade hemligheter. Om indikatorer finns bör ren ominstallation, återställning från kontrollerad konfiguration och rotation av uppgifter prioriteras framför snabb återgång på samma systemdisk.

Källor