文章总结： 思科ISE存在最高严重级别零日漏洞CVE-2026-76460，CVSS评分10.0，已遭在野利用。该API认证缺陷可远程绕过认证获取root权限，影响ISE及ISEPassiveIdentityConnector。思科已发布修复版本，CISA已列入KEV目录。建议立即升级并检查日志排查入侵痕迹，同时限制管理接口暴露面。
综合评分： 88
文章分类： 漏洞预警,应急响应,安全运营,漏洞分析
Cisco ISE遭遇在野攻击，最高严重级别漏洞必须尽快修复
原创
圈圈
圈圈
网络技术干货圈
2026年9月20日 09:05
江苏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
思科最近发布了一则需要网络和安全运维人员高度关注的安全公告：Cisco Identity Services Engine，也就是大家比较熟悉的 Cisco ISE，出现了一个最高严重级别的零日漏洞，而且这个漏洞已经被攻击者利用。
漏洞编号为 CVE-2026-76460，CVSS 评分达到满分 10.0。更值得关注的是，这不是一个停留在安全研究报告里的理论漏洞。思科已经确认，自己的产品安全响应团队已经发现该漏洞存在实际攻击活动。美国网络安全和基础设施安全局 CISA 也已经将它加入 Known Exploited Vulnerabilities，也就是已知被利用漏洞目录。
对于正在使用 Cisco ISE 的企业来说，这意味着补丁工作已经不能按照普通漏洞的节奏处理。
一个API认证缺陷，可能直接绕过管理入口
Cisco ISE并不是普通的网络设备管理工具，它主要承担企业网络中的身份识别、访问控制和安全策略执行。
在很多企业环境中，员工电脑、服务器、无线终端、交换机端口以及其他网络设备接入网络后，都可能通过ISE完成身份认证和访问策略判断。简单来说，ISE处在网络访问控制的重要位置，一旦它本身遭到入侵，影响范围可能远远超过一台普通服务器。
CVE-2026-76460的问题出现在ISE的API接口上。Cisco给出的描述是，该API存在身份验证控制不足的问题，远程攻击者无需经过正常身份认证，就可以通过构造请求绕过认证机制，进而访问受影响设备的Web管理接口。
真正让这个漏洞受到重视的原因，是攻击者根本不需要提前获得一个合法的管理员账号。
对于传统的管理后台攻击来说，攻击者往往还需要先寻找账号、密码或者其他认证凭据，而此次漏洞直接绕过了这一层安全控制。一旦攻击成功，攻击者获得的权限可能进一步扩大。
Cisco还特别指出，成功利用该漏洞后，攻击者可能获得root权限下的命令执行能力。拥有这种级别的控制权之后，攻击者不仅能够改变系统状态，也可能尝试删除或者隐藏入侵痕迹。
最危险的地方，是它已经被真实攻击
安全漏洞很多，但并不是每个10分漏洞都意味着企业已经遭到攻击。
CVE-2026-76460的情况不同。Cisco在9月16日发布安全公告时明确表示，其产品安全响应团队已经掌握该漏洞遭到主动利用的情况，因此建议用户升级到包含修复程序的软件版本。Cisco同时确认，目前没有针对这个漏洞的常规替代方案。
这也是此次漏洞最值得网络运维人员注意的地方。
安全团队通常会根据漏洞严重程度、是否需要认证、是否能够远程利用以及是否已经出现攻击代码等因素安排修复优先级。一个CVSS 10.0、无需认证、能够远程利用，同时已经出现在真实攻击中的漏洞，显然属于需要立即处理的情况。
CISA也在9月16日把CVE-2026-76460加入KEV目录。对于美国联邦民事行政部门，相关要求的修复期限是2026年9月19日。
对于其他企业来说，这个日期虽然不是统一适用的强制期限，但KEV目录本身可以作为判断漏洞实际攻击风险的重要参考。
哪些版本需要重点检查
Cisco已经为多个ISE版本提供了修复版本。
目前对应关系为：ISE 3.1需要升级到Patch 12，3.2需要升级到Patch 11，3.3需要升级到Patch 12，3.4需要升级到Patch 7，3.5需要升级到Patch 4。Cisco同时说明，3.0已经结束软件维护，继续使用这一版本的企业需要迁移到仍受支持并包含修复程序的版本。
值得注意的是，这次问题并不是只针对某一种特殊部署方式。Cisco公告明确指出，CVE-2026-76460影响Cisco ISE以及Cisco ISE Passive Identity Connector，而且与设备配置无关。
因此，企业不能简单地认为自己的ISE没有开放某个特殊功能，就可以暂时忽略这个漏洞。实际排查时，更应该先确认当前运行版本、Patch级别以及集群中的所有节点。
对于使用分布式ISE架构的企业，这一点尤其重要。不能只检查Primary节点或者管理节点，集群里的其他节点同样需要确认补丁状态。
已经打补丁，还需要检查日志
这次事件还有一个很容易被忽略的问题：升级并不等于此前没有遭到入侵。
Cisco已经提供了相关入侵排查建议。安全人员可以重点查看ISE节点上的 access.log，寻找异常用户名等可疑活动。如果ISE采用分布式部署，则需要检查每一个节点的日志。Cisco还给出了用于搜索异常用户名的命令，可以帮助管理员快速进行初步排查。
如果发现设备已经存在可疑活动，处理方式也不能简单停留在“重新打补丁”。
Cisco建议，对于确认受到攻击的节点，可以重新进行系统镜像，并结合配置备份进行恢复。原因很现实：如果攻击者已经取得root级别权限，那么本机上的日志和其他入侵证据都有可能被删除或者修改。
因此，网络侧的防火墙日志、流量日志以及其他独立于ISE设备之外的安全设备日志，同样具有重要价值。
网络运维需要重新审视ISE的安全边界
对于很多运维人员来说，ISE属于“网络基础设施”，平时关注点更多集中在认证失败、终端接入、RADIUS、TACACS+、802.1X以及策略配置等功能上。
这次漏洞实际上再次提醒了一个容易被忽略的问题：负责控制网络访问的系统，本身也必须按照核心安全基础设施来保护。
ISE一旦被控制，攻击者面对的并不只是一个Web管理页面。由于ISE承担网络身份和访问策略控制功能，攻击者如果进一步利用已经取得的权限，就可能影响认证策略、访问控制以及网络中的其他资源。安全研究人员也指出，这类设备的高权限被攻破后，潜在影响可能扩展到ISE所管理的网络区域。
所以，对于企业网络环境而言，ISE的管理接口不应该直接暴露在不必要的网络范围内。Cisco虽然没有提供针对CVE-2026-76460的完整替代方案，但官方建议可以使用基础设施访问控制列表限制到达受影响设备的管理和控制平面流量，将临时降低暴露面作为辅助措施。
不过，这类访问控制只能降低攻击面，并不能代替正式升级。
现在最重要的是确认版本和检查痕迹
CVE-2026-76460最大的特点并不是“一个新的高分漏洞”，而是它已经从漏洞公告进入了真实攻击阶段。
对于正在运行Cisco ISE的企业，当前更实际的处理顺序应该是先确认所有ISE和ISE-PIC节点的版本及Patch级别，再按照Cisco提供的固定版本进行升级。同时检查各节点日志以及外围网络设备日志，确认是否出现异常访问。如果发现疑似入侵，则需要按照事件响应流程进一步处理，而不是只完成一次软件升级。
Cisco官方目前没有给出可以替代升级的完整解决方案，因此对于仍处于受影响版本的ISE设备来说，升级依然是解决这个问题的核心措施。
网络设备的安全问题往往不会像服务器宕机一样立刻表现出来，但身份系统一旦被绕过，后续影响可能涉及整个网络访问体系。此次CVE-2026-76460已经被确认处于主动攻击状态，使用Cisco ISE的运维团队现在最应该做的事情，就是把版本检查、补丁升级和入侵排查真正落实下来。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络技术干货圈 圈圈
圈圈《Cisco ISE遭遇在野攻击，最高严重级别漏洞必须尽快修复》