SecBoard
Zurück zur CVE-Übersicht

CVE-2026-76460

CRITICAL(10.0)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Risk Signal Score78/100 — KRITISCH
  • CVSS 10 — Kritisch
  • EPSS 76% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

75.6%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

10

Technische Schwere

SecBoard-Einordnung

CVE-2026-76460 betrifft eine API des Cisco Identity Services Engine (ISE) und ermöglicht einem nicht authentifizierten, entfernten Angreifer die Umgehung der Authentifizierung. Die Schwachstelle liegt in einer unzureichenden Authentifizierungskontrolle eines API-Endpunkts. Ein erfolgreicher könnte unautorisierten Zugriff auf das betroffene Gerät über die webbasierte Verwaltungsschnittstelle ermöglichen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A vulnerability in an API of Cisco Identity Services Engine (ISE) could allow an unauthenticated, remote attacker to bypass authentication. This vulnerability is due to insufficient authentication control on an API endpoint. An attacker could exploit this vulnerability by sending a crafted request to an affected API endpoint. A successful exploit could allow the attacker to gain unauthorized access to the affected device by bypassing the web-based management interface.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Cisco became aware of active exploitation in the wild.

Behobene Versionen

  • Cisco ISE and ISE-PIC 3.1 Patch 12
  • 3.2 Patch 11
  • 3.3 Patch 12
  • 3.4 Patch 7
  • 3.5 Patch 4

Threat-Hunting-Queries

Review access.log for suspicious usernames.

Sentinel/Defender KQL

IdentityInfo
| where Application == "Cisco ISE" // Adjust based on your log source for Cisco ISE
| where RawData has "access.log" and RawData has "dummyuser" // Replace 'dummyuser' with patterns of suspicious usernames
| project TimeGenerated, Computer, RawData, AccountName, Activity

Splunk SPL

index=your_cisco_ise_index sourcetype=ise_logs "access.log" "dummyuser" // Replace 'your_cisco_ise_index' and 'dummyuser'

Sigma

title: Cisco ISE Authentication Bypass Attempt
status: experimental
description: Detects suspicious usernames in Cisco ISE access logs, indicative of CVE-2026-76460 exploitation.
logsource:
  product: cisco
  service: ise
detection:
  selection:
    EventID: "access.log"
    Message|contains: "dummyuser" # Replace 'dummyuser' with patterns of suspicious usernames
  condition: selection
level: high

Elastic ES|QL

FROM cisco_ise_logs
WHERE message LIKE '%access.log%' AND message LIKE '%dummyuser%' // Replace 'cisco_ise_logs' with your actual index and 'dummyuser' with patterns of suspicious usernames
SELECT @timestamp, host.name, message

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:-:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch1:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch10:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch11:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch2:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch3:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch4:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch5:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch6:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch7:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch8:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch9:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:-:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch1:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch10:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch2:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch3:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch4:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch5:*:*:*:*:*:*
  • cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch6:*:*:*:*:*:*

In diesen Analysen erwähnt

Wochenlage KW38: Kritische Cisco Zero-Day-Lücke und breite Patch-WelleSecBoard

Referenzen