情報取得日: 2026/09/16・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-76460 |
|---|---|
| 製品 | Cisco / Cisco Identity Services Engine（ISE）および ISE Passive Identity Connector（ISE-PIC）。Cisco は「regardless of device configuration（デバイスの構成によらず）」影響を受けると明記している。修正版は 3.1 Patch 12 / 3.2 Patch 11 / 3.3 Patch 12 / 3.4 Patch 7 / 3.5 Patch 4 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-648 特権APIの誤った使用 |
| 登録／公開日 | 2026/09/16 |
| KEV 期限 | 2026/09/19 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。緩和策が無い場合は製品の使用を中止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-76460 |
**認証なしで、ネットワーク越しに Cisco ISE の管理機能へ入り込める。** Cisco アドバイザリ cisco-sa-ISE-ABP-VNSW7Tn5（2026年9月16日 16:00 GMT 初版・Bug ID CSCww39530）によれば、原因は ISE の API エンドポイントの認証制御が不十分なことで、細工したリクエストを送ると Web 管理画面を経由せずに機器へ不正アクセスできる。 **悪用に成功すると root 権限でのコマンド実行に至りうる。** Cisco はアドバイザリの侵害痕跡の項で、攻撃者が root 権限でコマンドを実行しうること、そのため悪用の証拠が削除・隠蔽されうることを注意している。CVSS 3.1 は Cisco PSIRT が付けた 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、事前の権限も利用者の操作も要らない。 **すでに悪用されている。** Cisco は「PSIRT は本脆弱性の実際の悪用を認識している」と書き、CISA も同日 2026-09-16 に KEV（悪用が確認された脆弱性カタログ）へ収載して是正期限を 2026-09-19 とした。ISE はネットワークアクセス制御の中枢で、ここを奪われると認証ポリシーそのものを書き換えられうる。 **回避策は無い。** アドバイザリは「この脆弱性に対処する回避策はありません」と明記している。緩和策として、管理・制御プレーン宛ての通信を必要なものだけに絞るインフラ ACL（iACL）が示されているが、修正版への更新の代わりにはならない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS 側の対処で直るものではない。**EC2 上で ISE を動かしている場合も、ISE を 3.1 Patch 12 / 3.2 Patch 11 / 3.3 Patch 12 / 3.4 Patch 7 / 3.5 Patch 4 へ更新する。**
AWS のマネージドサービスとして ISE が提供されているわけではない。更新までの緩和として、セキュリティグループ／NACL で ISE の管理インタフェースへの到達元を管理用の信頼済み CIDR に絞る（Cisco が案内する iACL と同じ考え方）。VPC フローログは、Cisco が求める「機器の外側のログとの突き合わせ」に使える。再イメージ化が必要になった場合に備え、作り直す前に EBS スナップショットでフォレンジック情報を保全する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCP 側の対処で直るものではない。**ISE を各系列の修正版パッチへ更新する。**
Compute Engine 上で ISE を運用している場合、更新までの緩和はファイアウォールルールで管理面への到達元を限定すること。VPC フローログと Cloud Logging は、機器外側の記録として侵害確認に使える。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure 側の対処で直るものではない。**ISE を各系列の修正版パッチへ更新する。**
Azure VM 上で ISE を運用している場合、更新までの緩和は NSG で管理面への到達元を限定すること。NSG フローログと Azure Firewall のログは、機器外側の記録として突き合わせに使える。
参照リンク
|
| Linux | 対象外 |
**Linux ディストリビューションのパッケージ更新では直らない。** ISE は Cisco が配布するアプライアンス／仮想アプライアンスで、Cisco のパッチで更新する。
Linux サーバ側で行える実務は、syslog を別ホストへ転送して ISE の外側に記録を残し、侵害確認の際に突き合わせることである。
参照リンク
|
**修正版（パッチ）へ上げる。回避策は無い。** Cisco が示した First Fixed Release は、3.1 系列が **3.1 Patch 12**、3.2 系列が **3.2 Patch 11**、3.3 系列が **3.3 Patch 12**、3.4 系列が **3.4 Patch 7**、3.5 系列が **3.5 Patch 4** である。ISE-PIC も同じ表に従う。**3.0 は End of Software Maintenance に達している**と Cisco は注記しており、修正を含むサポート中のリリースへ移行する必要がある。 **更新までの緩和は、管理面への到達元を絞ること。** Cisco は iACL で、機器宛ての管理・制御プレーンの通信を必要なものだけ許可するよう案内している。これは修正ではなく、悪用の入口を狭める措置である。 **更新の前後で侵害の有無を確認する。** Cisco は access.log を確認して不審なユーザー名が無いかを見ること、分散構成では**全ノードのログ**を確認することを挙げている。悪意ある活動が疑われる場合は、影響を受けたノードを**再イメージ化し、必要なら設定バックアップから復元する**ことを強く推奨している。 **機器の中のログだけで「痕跡なし」と結論しない。** root を取られた場合は痕跡が消されうるため、Cisco は ISE の外側にあるネットワークログやファイアウォールログを突き合わせることを強く推奨している。
Critical（CVSS 10.0）に分類されるCisco Cisco Identity Services Engine（ISE）および ISE Passive Identity Connector（ISE-PIC）。Cisco は「regardless of device configuration（デバイスの構成によらず）」影響を受けると明記している。修正版は 3.1 Patch 12 / 3.2 Patch 11 / 3.3 Patch 12 / 3.4 Patch 7 / 3.5 Patch 4の脆弱性です。**認証なしで、ネットワーク越しに Cisco ISE の管理機能へ入り込める。** Cisco アドバイザリ cisco-sa-ISE-ABP-VNSW7Tn5（2026年9月16日 16:00 GMT 初版・Bug ID CSCww39530）によれば、原因は ISE の API エンドポイントの認証制御が不十分なことで、細工したリクエストを送ると Web 管理画面を経由せずに機器へ不正アクセスできる。 **悪用に成功すると root 権限でのコマンド実行に至りうる。** Cisco はアドバイザリの侵害痕跡の項で、攻撃者が root 権限でコマンドを実行しうること、そのため悪用の証拠が削除・隠蔽されうることを注意している。CVSS 3.1 は Cisco PSIRT が付けた 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）で、事前の権限も利用者の操作も要らない。 **すでに悪用されている。** Cisco は「PSIRT は本脆弱性の実際の悪用を認識している」と書き、CISA も同日 2026-09-16 に KEV（悪用が確認された脆弱性カタログ）へ収載して是正期限を 2026-09-19 とした。ISE はネットワークアクセス制御の中枢で、ここを奪われると認証ポリシーそのものを書き換えられうる。 **回避策は無い。** アドバイザリは「この脆弱性に対処する回避策はありません」と明記している。緩和策として、管理・制御プレーン宛ての通信を必要なものだけに絞るインフラ ACL（iACL）が示されているが、修正版への更新の代わりにはならない。
**修正版（パッチ）へ上げる。回避策は無い。** Cisco が示した First Fixed Release は、3.1 系列が **3.1 Patch 12**、3.2 系列が **3.2 Patch 11**、3.3 系列が **3.3 Patch 12**、3.4 系列が **3.4 Patch 7**、3.5 系列が **3.5 Patch 4** である。ISE-PIC も同じ表に従う。**3.0 は End of Software Maintenance に達している**と Cisco は注記しており、修正を含むサポート中のリリースへ移行する必要がある。 **更新までの緩和は、管理面への到達元を絞ること。** Cisco は iACL で、機器宛ての管理・制御プレーンの通信を必要なものだけ許可するよう案内している。これは修正ではなく、悪用の入口を狭める措置である。 **更新の前後で侵害の有無を確認する。** Cisco は access.log を確認して不審なユーザー名が無いかを見ること、分散構成では**全ノードのログ**を確認することを挙げている。悪意ある活動が疑われる場合は、影響を受けたノードを**再イメージ化し、必要なら設定バックアップから復元する**ことを強く推奨している。 **機器の中のログだけで「痕跡なし」と結論しない。** root を取られた場合は痕跡が消されうるため、Cisco は ISE の外側にあるネットワークログやファイアウォールログを突き合わせることを強く推奨している。
Cisco Cisco Identity Services Engine（ISE）および ISE Passive Identity Connector（ISE-PIC）。Cisco は「regardless of device configuration（デバイスの構成によらず）」影響を受けると明記している。修正版は 3.1 Patch 12 / 3.2 Patch 11 / 3.3 Patch 12 / 3.4 Patch 7 / 3.5 Patch 4 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76460）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。緩和策が無い場合は製品の使用を中止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。