SecBoard
Zurück zur CVE-Übersicht

CVE-2026-76460

CRITICAL(10.0)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Risk Signal Score65/100 — HOCH
  • CVSS 10 — Kritisch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)
  • Weniger als 24 Stunden alt

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

CVSS Score

10

Technische Schwere

SecBoard-Einordnung

CVE-2026-76460 betrifft eine API des Cisco Identity Services Engine (ISE) und ermöglicht einem nicht authentifizierten, entfernten Angreifer die Umgehung der Authentifizierung. Die Schwachstelle liegt in einer unzureichenden Authentifizierungskontrolle eines API-Endpunkts. Ein erfolgreicher könnte unautorisierten Zugriff auf das betroffene Gerät über die webbasierte Verwaltungsschnittstelle ermöglichen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in an API of Cisco Identity Services Engine (ISE) could allow an unauthenticated, remote attacker to bypass authentication. This vulnerability is due to insufficient authentication control on an API endpoint. An attacker could exploit this vulnerability by sending a crafted request to an affected API endpoint. A successful exploit could allow the attacker to gain unauthorized access to the affected device by bypassing the web-based management interface.

Erkennung & Indikatoren

Ausnutzung

CISA has added this vulnerability to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation.

Threat-Hunting-Queries

Upon successful exploitation, threat actors may obtain command execution with root privileges, potentially removing or hiding evidence. Cross-check network and firewall logs for suspicious activity.

Sentinel/Defender KQL

DeviceLogonEvents
| where ActionType == "Logon" and AccountName contains "dummyuser" or (ProcessCommandLine contains "ise-kong/access.log" and ProcessCommandLine contains "include dummyuser")
| project TimeGenerated, DeviceName, AccountName, ProcessCommandLine, InitiatingProcessCommandLine, RemoteIP, RemotePort

Splunk SPL

(index=* OR source=* OR sourcetype=*) ("dummyuser" OR (ise-kong/access.log AND "include dummyuser"))

Sigma

title: Cisco ISE Authentication Bypass Attempt
status: experimental
description: Detects suspicious usernames or commands in logs indicative of CVE-2026-76460 exploitation.
logsource:
  category: process_creation
  product: linux
detection:
  selection:
    CommandLine|contains:
      - 'ise-kong/access.log'
      - 'include dummyuser'
  condition: selection
fields:
  - CommandLine
  - User
tags:
  - attack.initial_access
  - cve.2026-76460

Elastic ES|QL

from logs
| where message : "dummyuser" or (message : "ise-kong/access.log" and message : "include dummyuser")
| project @timestamp, host.name, message

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen