概要
Ciscoは9月17日、Identity Services Engine(ISE)およびISE Passive Identity Connector(ISE-PIC)に存在する認証バイパスの脆弱性CVE-2026-76460(CVSS 10.0、最大深刻度)が実際の攻撃で悪用されていると警告した。原因はAPIエンドポイントにおける認証制御の不備で、攻撃者は細工したリクエストを送信するだけで、認証情報を一切持たずにWebベース管理インターフェースをバイパスして不正アクセスできる。Cisco製品セキュリティインシデント対応チーム(PSIRT)はアクティブな悪用を確認しており、回避策は存在しないため、パッチ適用が唯一の対策となる。CISAは9月16日付で本脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、連邦民間機関に対しBOD 26-04に基づき9月19日までの3日以内の対応を義務付けた。
技術的な詳細と影響範囲
脆弱性の悪用に成功すると、攻撃者はroot権限でコマンドを実行できるようになる。これは単なる情報漏えいにとどまらず、侵入の痕跡を隠蔽・削除される恐れがあることを意味し、被害の発覚を困難にするリスクがある。影響は設定内容にかかわらずISE/ISE-PICの全構成に及ぶ。あわせてCiscoは、同じく最大深刻度とされる二次的な認証バイパスの欠陥CVE-2026-76423を含む、計7件の重大な脆弱性を修正した。
対象バージョンと修正パッチは以下の通り。
- 3.1: Patch 12
- 3.2: Patch 11
- 3.3: Patch 12
- 3.4: Patch 7
- 3.5: Patch 4
検知方法とCiscoの対応
Ciscoは侵害の兆候を確認する手段として、show logging application ise-kong/access.log | include dummyuser コマンドによるログ調査を案内している。セキュリティチームには、access.logファイル内の不審なユーザー名の確認に加え、ファイアウォールやネットワークログを突き合わせて不正な通信がないか精査することを推奨しており、侵害が疑われるノードについては再イメージ化の検討も呼びかけている。
今後の展望
CVSS 10.0という最大深刻度の評価に加え、認証不要で悪用可能かつroot権限が奪われる点から、企業ネットワークの中核を担うアイデンティティ管理基盤であるISEを狙う攻撃は今後さらに拡大する可能性が高い。CISAが連邦機関に異例の短期間での対応を義務付けたことからも事態の深刻さがうかがえ、ISE/ISE-PICを運用する組織は回避策が存在しない以上、速やかなパッチ適用とログ精査による侵害有無の確認が急務となる。