Trusted Design

解説:

CVE-2026-76460に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-76460は、Cisco Identity Services Engine (ISE) およびCisco ISE Passive Identity Connector (ISE-PIC) のAPIエンドポイントにおける認証バイパスの脆弱性です。認証されていないリモートの攻撃者が、細工されたリクエストを当該APIエンドポイントに送信することで、ウェブベースの管理インターフェースをバイパスして不正なアクセス権を取得する可能性があります。この脆弱性は、特権APIの不適切な使用 (CWE-648) に起因します。

1.1 影響

攻撃者は認証をバイパスして管理インターフェースへの不正アクセスを得ることができます。 成功すると、攻撃者は根本的なデバイス上でroot権限でのコマンド実行を取得する可能性があります。 これにより、ネットワークアクセス制御ポリシーの変更、保存された認証情報の抽出、監査ログの削除、およびISEによって制御されるすべてのネットワークセグメントへの横方向の移動が可能になります。 機密設定や運用情報の漏洩、IDおよびネットワークアクセスサービスの妨害、サプライチェーンへの影響などの深刻なリスクがあります。

1.2 深刻度

CVSS v3.1スコアは最高の10.0（Critical）です。 CISA（Cybersecurity and Infrastructure Security Agency）は、この脆弱性を既知の悪用されている脆弱性（Known Exploited Vulnerabilities: KEV）カタログに追加しており、活発な悪用が確認されています。

2. 対象となる環境

Cisco Identity Services Engine (ISE) およびCisco ISE Passive Identity Connector (ISE-PIC) が影響を受けます。

2.1 影響を受けるOSバージョン

• Cisco Identity Services Engine (ISE) バージョン 3.1.0から3.5.0 (すべてのパッチレベルを含む)
• Cisco Identity Services Engine Passive Identity Connector バージョン 3.1.0から3.5.0 (すべてのパッチレベルを含む)
• 具体的には、以下のリリースブランチが影響を受けます（各固定パッチより前のバージョン）。
  • 3.1: Patch 12より前
  • 3.2: Patch 11より前
  • 3.3: Patch 12より前
  • 3.4: Patch 7より前
  • 3.5: Patch 4より前
• ISE 3.0はソフトウェアメンテナンスの終了を迎えており、修正プログラムは提供されないため、サポートされているリリース（3.3、3.4、または3.5）への移行が必要です。

2.2 影響を受ける設定

デバイスの設定に関わらず影響を受けます。つまり、特定の機能の組み合わせではなく、すべての展開モードがさらされています。 ISEのウェブベース管理APIがネットワークからアクセス可能な環境が影響を受けます。

3. 影響を受けた時の兆候

• 予期しない送信元IPアドレスからのISE管理APIエンドポイントへの認証されていないHTTPリクエスト。
• 変更管理チケットと関連しない、新規または変更された管理者アカウント、RADIUS/TACACS+クライアント、または承認ポリシー。
• ISE監査ログにおける予期しないポリシーのプッシュ、エンドポイントの再分類、または承認ルールの変更。
• 先行する正常なログインイベントなしに特権操作を示すセッションレコード。
• ise-kong/access.log ファイル内の疑わしいユーザー名（例: dummyuserのようなCiscoが提供するダミーユーザー名に類似するエントリ）。これは、展開内のすべてのノードで確認する必要があります。
• 攻撃者がroot権限を取得している可能性があるため、ローカルのフォレンジック証拠が改ざんまたは隠蔽されている可能性があります。影響を受けたデバイスからの予期しない外部IPアドレスへのアップロードや悪意のあるIPアドレスからのダウンロードを含む、ネットワークログおよびファイアウォールログを相互参照することが強く推奨されます。

4. 推奨対策

4.1 本対策

• Cisco Security Advisory cisco-sa-ISE-ABP-VNSW7Tn5 で特定されている修正済みのソフトウェアリリースを適用することが、主要な対策です。
• 影響を受けるISEまたはISE Passive Identity Connectorのすべてのノードを、以下の適切なパッチリリースに緊急でアップグレードする必要があります。
  • Cisco ISE/ISE-PIC 3.1: Patch 12以降
  • Cisco ISE/ISE-PIC 3.2: Patch 11以降
  • Cisco ISE/ISE-PIC 3.3: Patch 12以降
  • Cisco ISE/ISE-PIC 3.4: Patch 7以降
  • Cisco ISE/ISE-PIC 3.5: Patch 4以降
• Cisco ISE 3.0を使用している組織は、サポートされている固定リリース（3.3、3.4、または3.5）に移行する必要があります。

4.2 暫定回避策（緩和策）

この脆弱性に完全に対処する回避策はありません。 ただし、以下の緩和策を実施することができます。

• 一時的な緩和策として、ISE管理インターフェースへのネットワーク到達性を、信頼できる少数の管理者ホストやジャンプサーバーに制限すること。
• インフラストラクチャアクセス制御リスト（iACL）を使用して、影響を受けるデバイス宛の必要な管理および制御プレーンのトラフィックのみを許可します。
• ISE管理インターフェースを、ユーザーおよびサーバーVLANから分離された専用の帯域外管理ネットワークの背後に配置します。
• パッチが展開されるまでの間、リバースプロキシまたはWAFを使用して、機密性の高いISE APIパスへの認証されていないリクエストをフィルタリングします。
• ISE管理者資格情報、APIキー、および影響を受ける展開で公開された可能性のある共有シークレットをローテーションします。

5. 他に解説すべき観点

• 悪用状況: Ciscoは、この脆弱性が活発に悪用されていることを確認しています。CISAはこれを「既知の悪用されている脆弱性」カタログに追加し、連邦政府機関に対して2026年9月19日までに修正を義務付けました。
• 根本原因: 根本的な原因は、ISEのAPIエンドポイントにおける不十分な認証制御であり、CWE-648: Incorrect Use of Privileged APIsに分類されます。
• 攻撃の複雑さ: 攻撃はネットワーク経由で可能であり、低い複雑性、既存の権限不要、ユーザーとの対話不要という特徴があります。
• フォレンジックの課題: 攻撃者がroot権限を取得できるため、デバイス上のローカルフォレンジックアーティファクトを改ざんまたは削除する可能性があり、事後調査が複雑になる可能性があります。

参照したサイト

• CVE-2026-76460: Cisco ISE Authentication Bypass Vulnerability - SentinelOne
• CVE-2026-76460: Cisco ISE Zero-Day Exploited - SOC Prime
• CVE-2026-76460: A critical Cisco ISE authentication bypass under active exploitation - Help Net Security
• Maximum Severity Zero-Day Vulnerability Impacting Cisco ISE and ISE-PIC (CVE-2026-76460) | eSentire
• CVE-2026-76460: Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability - Knox Systems
• CVE-2026-76460: Cisco Confirms Active Exploitation of a Maximum-Severity ISE Bypass - SecurityWeek
• Unauthenticated attackers are bypassing Cisco ISE's management interface (CVE-2026-76460) - Help Net Security
• Cisco ISE Zero-Day CVE-2026-76460: Critical Authentication Bypass Vulnerability - Aviatrix
• Critical Vulnerability in Cisco ISE Under Active Exploitation (CVE-2026-76460) - Beazley
• Active Exploitation Triggers Emergency Patch for Cisco ISE Zero-Day - SecurityWeek
• Emergency patch advisory: Cisco ISE CVE-2026-76460 (CVSS 10.0) — no workarounds, active exploitation : r/networking - Reddit
• Cisco ISE related Vulnerability (CVE-2026-76460) - Cisco Community
• Cisco alerts customers to second actively exploited zero-day in as many days | CyberScoop
• Cisco ISE Zero-Day CVE-2026-76460: API Authentication Bypass Analysis - Aviatrix
• Cisco ISE Zero-Day CVE-2026-76460: What to Do Now - OpenVPN Blog
• Cisco Identity Services Engine Authentication Bypass Vulnerability - Cisco
• Cisco Identity Services Engine Authentication Bypass Vulnerability - Cisco