ネットワークに誰を入れるかを決めるのがシスコのIdentity Engineだ。認証なしの1リクエストが、その問いを飛び越える

シスコは9月16日、Identity Services Engine の欠陥について緊急のアドバイザリを公開した。ISE は、どのユーザーとデバイスを社内ネットワークに入れるかを判定するために、大規模企業の多くが使っているアプライアンスである。CVE-2026-76460 の CVSS 基本値は上限の 10.0 で、シスコの製品セキュリティチームはすでに攻撃に悪用されていると述べている。回避策はない。CISA は同日この脆弱性を Known Exploited Vulnerabilities カタログに追加し、連邦文民機関に対する修正期限を9月19日とした。この仕組みで設定しうる中でも、ほぼ最短の3日間である。

シスコのアプライアンスがアドバイザリから実際の悪用へと移るのは、この1週間で2件目だ。2日前に公開された Secure Email Gateway の欠陥に続く。この流れには名前を付けておく価値がある。狙われている製品は、カタログの片隅にある無名の品ではない。ネットワークの正面玄関に置かれ、設計上、見知らぬ相手からの通信を受け付ける装置である。

欠陥の内容

シスコはこの欠陥を、API エンドポイントにおける認証制御の不備だと説明している。同社の言葉では次のとおりだ。

攻撃者は、影響を受ける API エンドポイントに細工したリクエストを送ることで、この脆弱性を悪用しうる。悪用に成功すると、攻撃者は Web ベースの管理インターフェイスを迂回して、当該デバイスへの不正なアクセスを得る可能性がある。

防御側にとって重要な点は2つある。1つは、認証情報も事前の足がかりも不要だということ。攻撃者が特定の誰かである必要はなく、デバイスの設定がどうであれ影響を受ける。もう1つは、悪用が成功すると root 権限でのコマンド実行に至りうる、とシスコが述べていることだ。これはアプライアンスの一部ではなく、全体を指す。

悪用状況についてのシスコの説明に曖昧さはない。

Cisco PSIRT は、この脆弱性が実際に悪用されていることを把握している。シスコは、この脆弱性を解消するため、修正済みソフトウェアリリースへのアップグレードを強く推奨する。

影響範囲

ISE と ISE Passive Identity Connector（ISE-PIC）は、サポート対象のライン全体にわたって影響を受ける。安全なブランチというものは存在しない。

修正は ISE の9月のハードニングリリースに含めて提供された。シスコによれば、これは外部からの報告ではなく、社内のセキュリティレビューから生まれたものだという。The Hacker News は、同じ期間に開示された脆弱性を76件と数えている。うち41件が ISE、28件が Secure Firewall 製品で、同じく 10.0 と評価された別の欠陥も含まれる。悪用が確認されているのは CVE-2026-76460 だけである。

なぜこの装置の root は、ほかの装置の root より深刻なのか

ISE は、たまたま機微なデータを持っているサーバーではない。これはポリシー決定点そのものだ。ノート PC が社内ネットワークに参加できるか、業務委託先の端末がゲスト VLAN に落ちるか、管理者がスイッチのシェルを得られるか。そうした判断を毎分何千回と返している。その役割のために、ディレクトリ連携用のアカウント、RADIUS と TACACS+ の共有シークレット、証明書、そして認可ポリシーそのものを保持している。

したがって ISE の root を取った攻撃者は、1台のマシンを手に入れるだけではない。他の全員が何に到達できるかを決めるルールを手に入れる。そして、下流のすべての機器が何の疑いもなく従うルールを、自分のために書き足せる。ISE が発行したポリシーに従う通信は、侵入のようには見えない。ネットワークが正常に動いているように見える。

二次的な問題は、証跡にある。root を取られれば攻撃者は侵害の痕跡を隠したり削除したりできる、とシスコは警告した。そして ISE は多くの場合、誰が何に認証したかを記録しているシステムでもある。ISE を侵害されるということは、侵害範囲を特定するために使うはずのログそのものが損なわれるということだ。パッチは扉を閉める。すでに誰かが通り抜けた後かどうかは教えてくれない。

3日という数字が物語るもの

KEV カタログにおける CISA の標準的な修正期限は週単位である。3日という設定は、導入台数が多く、悪用が予測ではなく現実だと同庁が判断したときに使うものだ。何社が被害を受けたかは公開情報からは分からず、シスコもこの攻撃活動を誰が発見したのかを明らかにしていない。しかし期限の短さは確信の度合いを示す表明であり、それがアドバイザリ公開と同日に設定された。

いま取るべき行動

自分のブランチに対応する修正リリースへパッチを適用すること。代わりになる設定変更はなく、管理インターフェイスを制限するという通常の緩和策でも、この欠陥は塞げない。

パッチ適用前に到達可能だった ISE は、正常なものとしてではなく、疑わしいものとして扱うこと。シスコの助言どおり管理者アクセスのログを確認し、アプライアンス外に保管したコピーと突き合わせること。root を取られていれば、装置上の記録は書き換えられている可能性があるからだ。そして、この装置が保持しているものを更新すること。共有シークレット、ディレクトリサービスのアカウント、管理者の認証情報、証明書である。

そのうえで、管理プレーンを、見える必要のないネットワークから外すこと。それで CVE-2026-76460 が直るわけではない。ただ、次の欠陥に手が届く人間の数を減らすことはできる。

Sources: Cisco Security Advisory: Cisco Identity Services Engine Hardening Release: September 2026 · BleepingComputer: Cisco warns of max severity ISE zero-day exploited in attacks · The Hacker News: Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks · SecurityWeek: Active Exploitation Triggers Emergency Patch for Cisco ISE Zero-Day · CISA: Known Exploited Vulnerabilities Catalog