Luka w API Cisco Identity Services Engine pozwala bez hasła przejąć system kontroli dostępu do sieci. Cisco i CISA potwierdzają ataki. Zaktualizuj ISE i ISE-PIC dziś i sprawdź logi węzłów.
Ten alert jest dla zarządu, CTO i CFO firm, które kontrolują dostęp do swojej sieci przez Cisco Identity Services Engine (ISE) lub ISE-PIC. Werdykt: luka ma maksymalną ocenę 10.0, nie wymaga logowania i jest już wykorzystywana, więc zaktualizuj ISE dziś i sprawdź logi wszystkich węzłów, bo napastnik może przejąć system, który decyduje, kto wchodzi do Twojej sieci.
16 września 2026 roku Cisco opublikowało poprawki dla CVE-2026-76460 i ogłosiło, że jego zespół PSIRT wie o aktywnym wykorzystaniu luki. Tego samego dnia amerykańska agencja CISA dopisała ją do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach, i dała agencjom federalnym trzy dni na naprawę.
Błąd siedzi w jednym z interfejsów programistycznych (API) Cisco ISE. Napastnik z sieci, bez hasła, może ominąć panel zarządzania i uzyskać dostęp do urządzenia. Cisco ostrzega, że po udanym ataku może on wykonywać polecenia z najwyższymi uprawnieniami i zacierać ślady. Obejścia nie ma, jest tylko miara ograniczająca.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-76460 |
Data dodania do CISA KEV | 2026-09-16 |
Termin naprawy wg CISA | 2026-09-19 (wymagana także analiza powłamaniowa) |
Produkt | Cisco Identity Services Engine (ISE) i Cisco ISE Passive Identity Connector (ISE-PIC) |
Wersje zagrożone | Wg Cisco: ISE i ISE-PIC niezależnie od konfiguracji, wydania bez poprawek wymienionych niżej. Rekord CVE wymienia 30 wydań ISE z gałęzi 3.1 do 3.5 oraz ISE-PIC 3.4.0 i 3.5.0. Wydanie 3.0 nie jest już utrzymywane. Atak nie wymaga logowania |
Wersje bezpieczne | 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, 3.5 Patch 4. Dla 3.0: migracja na wspierane wydanie. Wg Help Net Security Cisco zaleca docelowo 3.3, 3.4 lub 3.5, bo 3.1 i 3.2 dostają już tylko krytyczne poprawki |
Typ podatności | Obejście uwierzytelniania w API; CWE-648 (niewłaściwe użycie uprzywilejowanych API) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Cisco): atak przez sieć, bez uprawnień, bez udziału użytkownika, z wpływem wykraczającym poza sam komponent. NVD nie przeanalizowało jeszcze wpisu |
Wyobraź sobie biurowiec, w którym jedna centrala ochrony decyduje, czyja karta otwiera które drzwi: kto wejdzie do biura, kto do serwerowni, czyj laptop może podłączyć się do sieci. Okazało się, że centrala ma boczne wejście serwisowe, które nie pyta o hasło. Obcy człowiek, który je znajdzie, siada przy pulpicie ochrony i może sam wydawać karty, a nawet wyczyścić nagrania z monitoringu.
Tak działa ta luka. Cisco ISE to system, który w wielu firmach decyduje, kto i jakim urządzeniem łączy się z siecią i do jakich zasobów ma dostęp. Błąd w jednym z jego interfejsów pozwala ominąć logowanie. Przejęcie ISE to przejęcie strażnika całej sieci.
💡 Cisco ISE to system kontroli dostępu do sieci: sprawdza tożsamość użytkowników i urządzeń i przydziela im uprawnienia. ISE-PIC to jego uproszczona wersja do rozpoznawania tożsamości. API to interfejs, przez który programy komunikują się z systemem bez użycia ekranu. Węzeł to pojedynczy serwer ISE; większe firmy mają ich kilka. iACL to lista reguł na urządzeniach sieciowych ograniczająca, kto może łączyć się z danym systemem.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do zarządzania ISE | Tylko administratorzy z hasłem | Napastnik bez hasła |
Zasady dostępu do sieci | Ustala zespół IT | Może je zmienić napastnik |
Ślady w logach urządzenia | Wiarygodne | Mogą zostać usunięte |
Nowe urządzenie w sieci | Musi przejść weryfikację | Napastnik może je dopuścić |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu: Cisco nie ujawniło szczegółów ataków. Luka nie wymaga logowania, więc zagrożony jest każdy węzeł ISE osiągalny dla napastnika przez sieć.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 | Wyszukanie osiągalnych węzłów ISE | Lista celów |
2. Wejście | T+minuty | Wysłanie spreparowanego żądania do podatnego API | Dostęp z pominięciem logowania |
3. Przejęcie | T+minuty | Wykonywanie poleceń z uprawnieniami root | Pełna kontrola nad węzłem |
4. Zacieranie śladów | T+godziny | Usuwanie wpisów z logów urządzenia | Trudne wykrycie włamania |
5. Ruch w sieci | T+dni | Zmiana zasad dostępu, kradzież danych o użytkownikach i urządzeniach | Wejście do innych segmentów sieci |
ISE wdrażają firmy, dla których kontrola dostępu do sieci jest kluczowa, często jako fundament modelu Zero Trust. Przejęcie systemu, który ma pilnować bezpieczeństwa, daje napastnikowi klucze do całej infrastruktury i jednocześnie odbiera zespołowi IT wiarygodny obraz sytuacji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub przebudowa ISE, problemy z dostępem użytkowników do sieci | Godziny do dni | 50 tys. do 400 tys. PLN (przestój, ponowna instalacja węzłów) |
Bezpieczeństwo danych | Kradzież danych o użytkownikach i urządzeniach, dostęp do chronionych segmentów | Godziny od wejścia | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty zespołu reagowania, możliwy atak ransomware jako kolejny krok | Dni do tygodni | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i audytorów do zabezpieczeń | Miesiące | 100 tys. do 1 mln PLN |
Prawny | Przy danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; obowiązki raportowe wynikające z przepisów o cyberbezpieczeństwie | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Cisco ISE i ISE-PIC bez poprawek z 16.09.2026
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne, bo atak nie wymaga logowania, CISA ocenia go jako automatyzowalny, a Cisco potwierdza wykorzystanie; wpływ jest krytyczny, bo przejęty zostaje system kontroli dostępu do całej sieci. Jeśli interfejsy ISE są osiągalne tylko z wydzielonej sieci administracyjnej, prawdopodobieństwo spada, ale nie znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ograniczyć dostęp do interfejsów zarządzania ISE listami iACL tylko do sieci administracyjnej | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować wszystkie węzły ISE i ISE-PIC do 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 lub 3.5 Patch 4 | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć logi dostępu na każdym węźle pod kątem podejrzanych nazw użytkowników, zgodnie z biuletynem Cisco | Dziś | Zespół bezpieczeństwa |
4 | 🔴 NATYCHMIAST | Sprawdzić logi zapory i sieci poza ISE pod kątem nietypowych wysyłek i pobrań z węzłów | Do 24 godzin | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy podejrzeniu włamania zainstalować węzły od nowa i odtworzyć konfigurację z kopii, zmienić hasła kont powiązanych | Do 48 godzin | Administrator sieci |
6 | 🟠 PILNIE | Ocenić pozostałe krytyczne luki ISE z tego samego wydania, w tym CVE-2026-76423 | Do 3 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Zaplanować migrację z 3.0, 3.1 i 3.2 na wydania 3.3 lub nowsze | Do 30 dni | CTO |
Cisco nie podaje obejścia. Jedyną miarą ograniczającą wskazaną przez producenta są listy kontroli dostępu infrastruktury (iACL), które przepuszczają do ISE tylko niezbędny ruch zarządzania. Cisco traktuje ją jako rozwiązanie tymczasowe do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
iACL: dostęp do zarządzania ISE tylko z sieci administracyjnej (zalecenie Cisco) | Wysoka wobec napastników spoza tej sieci | Średnia |
Monitorowanie ruchu wychodzącego z węzłów ISE na zaporze | Średnia: wykrywa, nie blokuje | Średnia |
Kopia zapasowa konfiguracji ISE poza urządzeniem | Wysoka dla odtworzenia po włamaniu | Łatwa |
Wzmożony przegląd zmian w zasadach dostępu | Niska do średniej | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja ISE | Bez poprawek z 16 września 2026 | Wydanie z poprawką na każdym węźle |
Dostęp do zarządzania | Z dowolnego segmentu sieci | Tylko z sieci administracyjnej |
Wiedza o włamaniu | Brak | Logi węzłów i zapory sprawdzone |
Kopia konfiguracji | Nieaktualna lub brak | Aktualna, poza urządzeniem |
Stare wydania 3.0 do 3.2 | W użyciu | Plan migracji zatwierdzony |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Cisco PSIRT; SSVC CISA: aktywne, automatyzowalne) |
Grupy przestępcze | Brak publicznych informacji; Cisco nie ujawniło sprawców |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (Cisco, CVSS 3.1); brak oceny NVD |
PoC dostępny publicznie? | Brak publicznych informacji o PoC |
Liczba atakowanych firm | Brak publicznych informacji |
Jak wykryto lukę | Wg Cisco podczas obsługi zgłoszenia w centrum wsparcia technicznego (TAC) |
Skala wydania poprawek | Wg The Hacker News 77 nowych CVE Cisco 16 września 2026, z czego 41 dotyczy ISE |
Sygnały zagrożenia dla CVE-2026-76460
CVSS 3.1 (Cisco) 10.0/10 ████████████████████ KRYTYCZNA
Wymagane logowanie NIE ████████████████████ brak
Automatyzowalna (CISA) TAK ████████████████████ masowe ataki możliwe
Wykorzystanie (Cisco) TAK ████████████████████ potwierdzone
Obejście producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko iACL Źródła różnią się co do zakresu wersji: rekord CVE wymienia wydania 3.1 do 3.5, Help Net Security pisze o 3.0 do 3.5. Wydanie 3.0 nie jest utrzymywane, więc w obu przypadkach wymaga migracji.
2025-07 Wcześniejsza wykorzystywana luka ISE: CVE-2025-20337 (wg BleepingComputer)
2026-09-16 Cisco publikuje biuletyn, poprawki i rekord CVE-2026-76460
2026-09-16 CISA dodaje lukę do katalogu KEV
2026-09-17: TUTAJ JESTEŚMY
2026-09-19 Termin naprawy wg CISA Biuletyn Cisco z wydaniami poprawek i wskaźnikami włamania: cisco-sa-ISE-ABP-VNSW7Tn5 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-76460 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę węzłów ISE i ISE-PIC z wersjami i informacją, skąd są osiągalne | CTO | DZISIAJ |
2 | Zatwierdzić awaryjne okno serwisowe na aktualizację, nawet w godzinach pracy | CTO | DZISIAJ |
3 | Zlecić przegląd logów węzłów i zapory zgodnie z biuletynem Cisco | CTO | DZISIAJ |
4 | Sprawdzić, czy umowa serwisowa z Cisco lub partnerem obejmuje pobranie poprawek | CFO | DO JUTRA |
5 | Zabezpieczyć budżet na zewnętrzną analizę powłamaniową, jeśli logi budzą wątpliwości | CFO | DO JUTRA |
6 | Ustalić, czy incydent podlega obowiązkom raportowym wobec regulatora | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje ISE i ISE-PIC działają na każdym węźle? | [wersja] | 🔴 |
2 | Czy interfejsy zarządzania ISE są osiągalne spoza sieci administracyjnej? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy wydanie z poprawką na ostatnim węźle? | [data] | 🔴 |
4 | Czy przejrzeliśmy logi dostępu na wszystkich węzłach i z jakim wynikiem? | TAK / NIE, [data] | 🔴 |
5 | Czy sprawdziliśmy logi zapory pod kątem ruchu z węzłów ISE do nieznanych adresów? | TAK / NIE | 🟠 |
6 | Kiedy wykonaliśmy ostatnią kopię konfiguracji ISE poza urządzeniem? | [data] | 🟠 |
7 | Czy używamy jeszcze wydań 3.0, 3.1 lub 3.2? | TAK / NIE, [wersja] | 🟡 |
CVE-2026-76460 to aktywnie wykorzystywana luka w Cisco ISE i ISE-PIC z oceną 10.0, która bez logowania daje dostęp do systemu pilnującego dostępu do całej sieci. Cisco nie podaje obejścia, a napastnik może zacierać ślady, dlatego aktualizacja, ograniczenie dostępu do zarządzania i przegląd logów także poza urządzeniem to zadania na dziś. Firmy na starszych wydaniach powinny potraktować ten incydent jako sygnał do migracji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.