Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks

Exploitation active d’une vulnérabilité critique (CVE-2026-76460) dans Cisco ISE

Cisco a émis une alerte concernant une vulnérabilité critique affectant l’Identity Services Engine (ISE) et l’ISE Passive Identity Connector (ISE-PIC), actuellement exploitée par des attaquants. Cette faille permet à un attaquant distant non authentifié de contourner l’authentification via une requête API spécialement conçue, pouvant mener à une exécution de code avec des privilèges root.

Points clés :

• Gravité : Le score CVSS de 10.0 classe cette vulnérabilité parmi les plus critiques.
• Impact : Accès non autorisé, contournement de l’interface de gestion et potentielle prise de contrôle totale du système.
• Contexte : La faille a été ajoutée au catalogue des vulnérabilités exploitées (KEV) de la CISA.
• Portée étendue : Au-delà de cette vulnérabilité, Cisco a publié des correctifs pour 77 autres failles critiques affectant divers produits (ISE, Secure Firewall, Nexus Dashboard, Secure Email Gateway).

Vulnérabilité principale :

• CVE-2026-76460 : Bypass d’authentification par contrôle insuffisant sur un point de terminaison API.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs disponibles selon la version : 3.1 (Patch 12), 3.2 (Patch 11), 3.3 (Patch 12), 3.4 (Patch 7) et 3.5 (Patch 4).
• Détection : Rechercher des noms d’utilisateurs suspects dans les journaux d’accès (access.log) via la commande : show logging application ise-kong/access.log | include dummyuser.
• Réponse à incident : En cas de compromission, la réinstallation complète des nœuds et une restauration à partir de sauvegardes sécurisées sont nécessaires.
• Atténuation : Utiliser des listes de contrôle d’accès d’infrastructure (iACLs) pour restreindre l’accès au plan de gestion et de contrôle aux seules sources autorisées. Aucune autre solution de contournement n’est disponible.

Source