Vulnérabilité critique dans Cisco Identity Services Engine
.png)
Produits concernés
• Cisco Identity Services Engine (ISE) et Cisco ISE Passive Identity Connector (ISE-PIC) en version 3.1 (avant Patch 12), 3.2 (avant Patch 11), 3.3 (avant Patch 12), 3.4 (avant Patch 7), 3.5.1 (avant Patch 4)
Prérequis
• Accès réseau au service d’administration de la solution impactée
Risques
• Accès non autorisé au dispositif en contournant l'interface de gestion web
• Exécution de commandes
Résumé
Une vulnérabilité critique de contournement d'authentification affectant Cisco Identity Services Engine (ISE) et ISE Passive Identity Connector (ISE-PIC) a été publiée en urgence par l'éditeur le 16 septembre 2026, découverte lors du traitement d'un dossier de support du Cisco Technical Assistance Center (TAC).
Le niveau de criticité de cette vulnérabilité est de 10.0 (score CVSSv3.1).
Cisco ISE est une plateforme centrale de gestion des politiques de sécurité réseau, utilisée par les administrateurs IT pour gérer les points de terminaison, appliquer le contrôle d'accès au réseau (NAC) et centraliser l'authentification des utilisateurs et des équipements.
• CVE-2026-76460 : un contrôle d'authentification insuffisant sur un endpoint API permet à un attaquant distant non authentifié de contourner l'authentification en envoyant une requête spécialement conçue à cet endpoint. L'exploitation réussie donne accès au dispositif en contournant l'interface de gestion web, avec un risque d'exécution de commandes avec privilèges root.
Le Cisco PSIRT confirme officiellement avoir connaissance d'une exploitation active de cette vulnérabilité.
Étant donné l'exploitation active déjà confirmée, nous préconisons une remédiation sans attendre, pour toute instance Cisco ISE ou ISE-PIC non corrigée.
Solutions
Détection de la compromission :
Cisco fournit une méthode de détection dans son bulletin :
• Examiner le fichier access.log à la recherche de noms d'utilisateur suspects (ex. commande show logging application ise-kong/access.log | include dummyuser sur le dispositif).
• Si le déploiement est distribué, examiner les journaux de chaque nœud du cluster.
• Important : en raison du niveau d'accès root obtenu par les attaquants, les preuves d'exploitation peuvent avoir été supprimées ou dissimulées. Cisco recommande de croiser les journaux réseau et pare-feu externes au dispositif compromis, en particulier tout envoi ou téléchargement inattendu vers/depuis des adresses IP externes.
Remédiation
Mettre à jour Cisco ISE / ISE-PIC vers la version corrigée correspondant à votre branche :
• 3.1 Patch 12
• 3.2 Patch 11
• 3.3 Patch 12
• 3.4 Patch 7
• 3.5 Patch 4
La version 3.0 étant en fin de maintenance logicielle, une migration vers une version supportée est nécessaire.
Mitigation
En attendant l'application du correctif, Cisco recommande d'utiliser des listes de contrôle d'accès d'infrastructure pour n'autoriser que le trafic de gestion et de contrôle strictement nécessaire à destination du dispositif, afin de prévenir l'exploitation à distance.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
