Cisco、CVSS 10.0のISE認証バイパス脆弱性。悪用を確認

Ciscoが9月16日に公開したCVE-2026-76460は、同社のネットワークアクセス制御基盤であるIdentity Services Engine（ISE）と、ISE Passive Identity Connector（ISE-PIC）に影響する認証バイパスの脆弱性だ。CVSSは上限値の10.0。悪用が成功すると、未認証のリモート攻撃者がroot権限でコマンドを実行できる。Cisco PSIRTは実際に悪用されていることを把握しているとして、修正の即時適用を呼びかけた。CISAも本脆弱性を既知悪用脆弱性（KEV）カタログに追加している。

原因はISE内部のAPIにある。あるAPIエンドポイントの認証制御が不十分で、細工したリクエストを送るとWebベースの管理インターフェースを迂回できる。認証情報もユーザー操作も不要で、脆弱なバージョンのISEおよびISE-PICは構成に関係なく影響を受ける。回避策は存在しないが、Ciscoはインフラ側のアクセスコントロールリストで管理プレーンとコントロールプレーンに届くトラフィックを制限する暫定緩和を挙げている。恒久対策はISE／ISE-PICの3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7、3.5 Patch 4。3.0はソフトウェアメンテナンスが終了しているため、サポート対象リリースへの移行が必要になる。

厄介なのはrootを取られた後の話だ。Ciscoは、root権限があれば侵入の痕跡を削除・隠蔽でき、機器が侵害されたかどうかの判断が難しくなると警告している。そのため同社は、分散構成の全ノードでISEのアクセスログを調べて不審なユーザー名を探すこと、そして当該機器の外側に保管しているネットワークログやファイアウォールログで、想定外のアップロードやダウンロードの痕跡を確認することを推奨する。悪用の証跡が見つかった場合は、影響ノードの再イメージ化と、必要に応じたバックアップからの構成復元を「強く推奨」としている。パッチを当てて終わり、という整理ができない種類の脆弱性である。

CiscoはCVE-2026-76460を、テクニカルアシスタンスセンター（TAC）のサポート案件に対応する過程で発見したと説明する一方、誰が悪用しているのか、攻撃がいつから続いているのか、侵入後に何をしたのかは明らかにしていない。同日にはISE関連の脆弱性がまとまって公開され、CVSS 10.0のアドバイザリがほかに2件、リモートコード実行の3件は最大9.9を記録した。数日前に公開されたCVE-2026-76461（Secure Email GatewayおよびSecure Email and Web Manager、CVSS 9.8）も悪用が確認されている。