思科警告：ISE 存在严重零日漏洞，已被攻击者利用

Rhinoer
Rhinoer

犀牛安全

2026年10月15日 00:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

思科发布紧急安全公告，指出思科身份服务引擎 (ISE) 和思科 ISE 被动身份连接器 (ISE-PIC) 中存在一个严重的零日漏洞。据思科产品安全事件响应团队称，该漏洞编号为 CVE-2026-76460，目前已被攻击者利用。

该漏洞的 CVSS 评分最高为 10.0 分。它可能允许未经身份验证的远程攻击者绕过受影响系统的身份验证。

思科确认目前没有其他解决方法，因此立即进行软件更新是首要的修复措施。该问题源于思科ISE中某个API端点的身份验证控制不足。

攻击者可以向易受攻击的端点发送特制的请求，绕过基于 Web 的管理界面，从而获得未经授权的访问权限。

Cisco ISE 被众多组织广泛用于控制网络访问、实施安全策略、验证用户和设备身份以及提供对连接资产的可见性。

Cisco ISE 零日漏洞被利用

因此，一旦攻破成功，攻击者便可获得进入企业身份和网络管理环境的高价值入口。思科警告称，成功利用漏洞可能使攻击者获得root权限并执行命令。

获得根级访问权限将使攻击者能够完全控制受影响的 ISE 节点，从而更改配置、部署恶意工具、创建持久性、窃取凭据或将该设备用作横向移动的中转站。

无论设备配置如何，此漏洞均会影响 Cisco ISE 和 Cisco ISE-PIC。Cisco ISE 软件版本 3.0 也存在此漏洞，但该版本已停止软件维护。使用 3.0 版本的组织应迁移到包含此安全修复程序的受支持版本。

思科发布了针对受支持平台版本的补丁程序。修复的版本包括 ISE 3.1 Patch 12、ISE 3.2 Patch 11、ISE 3.3 Patch 12、ISE 3.4 Patch 7 和 ISE 3.5 Patch 4。

管理员应确定已部署的版本，并尽快升级到相应的修复版本。对于无法立即进行修补的组织，思科建议使用基础架构访问控制列表 (iACL) 来限制到达易受攻击设备的管理和控制平面流量。

只有必要且受信任的系统才能与 Cisco ISE 管理接口通信。然而，思科强调，这种缓解措施只是暂时的，并不能消除根本漏洞。

管理员还应检查系统是否存在被攻击的迹象。思科建议查看 access.log 文件，查找可疑用户名或异常 API 活动。

在分布式 ISE 环境中，应检查每个节点，因为攻击者可能以任何可访问的节点为目标。思科提供了一个用于审查可疑登录相关事件的示例命令show logging application ise-kong/access.log | include dummyuser：

安全团队应收集启用调试日志的支持包，以便访问额外的 API 网关日志。思科指出，由于拥有 root 权限的攻击者可以删除或隐藏取证痕迹，因此受损设备上的证据可能不完整。

组织还应检查受影响设备外部的防火墙和网络日志。ISE 节点向外部 IP 地址的意外上传、可疑下载以及无法解释的出站连接都可能表明系统已遭到入侵。

如果发现或高度怀疑存在恶意活动，思科建议重新映像受影响的 ISE 节点，并从已知良好的备份中恢复配置。该漏洞是思科技术支持中心在处理一个支持案例时发现的。

信息来源：CyberSecurityNews