Администраторы Cisco, потратившие неделю на установку исправлений для почтовых шлюзов, теперь столкнулись с критической уязвимостью в Identity Services Engine (ISE) с рейтингом 10.0, которая активно эксплуатируется.
Компания Cisco обнародовала информацию об уязвимости CVE-2026-76460 в среду, описав ее как обход аутентификации, затрагивающий Identity Services Engine (ISE) и ISE Passive Identity Connector (ISE-PIC). Успешная эксплуатация может предоставить удаленному злоумышленнику без аутентификации возможность выполнения команд с правами root.
Команда реагирования на инциденты в области безопасности продуктов (Product Security Incident Response Team) заявила, что осведомлена об активной эксплуатации уязвимости и настоятельно призвала клиентов немедленно установить исправления. CISA также добавила эту уязвимость в свой каталог известных эксплуатируемых уязвимостей.
Это предупреждение последовало за раскрытием другой критической уязвимости с активной эксплуатацией, обнаруженной за несколько дней до этого, CVE-2026-76461, затрагивающей устройства Secure Email Gateway и Secure Email and Web Manager. Эта уязвимость с рейтингом 9.8 также могла привести к получению прав root, побудив Cisco предупредить администраторов о том, что злоумышленники могут попытаться скрыть следы после проникновения.
Последняя проблема связана с API в Cisco ISE, платформе контроля сетевого доступа компании. Cisco заявляет, что недостаточные средства контроля аутентификации в конечной точке API позволяют злоумышленнику отправить специально сформированный запрос для обхода веб-интерфейса управления продуктом.
Учетные данные или взаимодействие с пользователем не требуются, и Cisco утверждает, что уязвимые версии ISE и ISE-PIC затронуты независимо от конфигурации.
Уязвимость получила максимальную оценку CVSS — 10.0. Cisco предупредила, что доступ с правами root может позволить злоумышленникам удалять или скрывать следы вторжения, что затрудняет определение того, был ли скомпрометирован аппаратный узел.
Cisco рекомендовала администраторам проверять журналы доступа ISE на наличие подозрительных имен пользователей на каждом узле в распределенной системе, а также проверять сетевые журналы и журналы межсетевого экрана, хранящиеся вне затронутого устройства, на предмет признаков неожиданной загрузки или выгрузки данных.
Если администраторы обнаружат признаки возможной эксплуатации, Cisco «настоятельно рекомендует» переустановить операционную систему на затронутых узлах и, при необходимости, восстановить их конфигурации из резервной копии.
Обходных путей не существует, хотя Cisco заявила, что списки контроля доступа к инфраструктуре могут использоваться в качестве временной меры для ограничения трафика управления и плоскости управления, достигающего затронутых систем.
Постоянные исправления доступны в ISE и ISE-PIC версий 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4. ISE 3.0 достиг конца срока поддержки программного обеспечения, поэтому клиенты, использующие его, должны перейти на поддерживаемую версию.
Cisco обнаружила CVE-2026-76460 при решении случая поддержки в Техническом центре поддержки (Technical Assistance Center), но не раскрыла, кто эксплуатирует уязвимость, как долго продолжаются атаки или что делали злоумышленники после получения доступа.
Консультативное уведомление сопровождало значительный пакет других уязвимостей ISE, опубликованных в среду. Два других уведомления Cisco имели максимальную оценку CVSS 10.0, в то время как отдельная группа уязвимостей удаленного выполнения кода получила оценку до 9.9.
Для администраторов, ответственных за оборудование Cisco, сентябрь обещает быть месяцем активного исправления ошибок. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Carly Page
