🚨 Критическая уязвимость Cisco ISE уже используется в атаках

Cisco 16 сентября 2026 года сообщила о критической уязвимости CVE-2026-76460 в Cisco Identity Services Engine (ISE) и ISE Passive Identity Connector.

Проблема связана с недостаточной проверкой аутентификации одного из API. Удалённому злоумышленнику не нужны учётные данные: специально сформированный запрос позволяет обойти механизм аутентификации и получить несанкционированный доступ к системе.

Уязвимости присвоен максимальный CVSS 10.0.

Но в этом случае важен не только показатель критичности. Cisco подтвердила активную эксплуатацию CVE-2026-76460. То есть уязвимость уже используется в реальных атаках, а не только рассматривается как потенциальный вектор компрометации.

☝️ Почему Cisco ISE представляет особый интерес

ISE отвечает за идентификацию пользователей и устройств и применение политик доступа к корпоративной сети.

Поэтому компрометация этого компонента может затронуть сам механизм контроля доступа. После обхода аутентификации атакующий потенциально может получить административные привилегии, выполнять команды с правами root, изменять сетевые политики и использовать систему для дальнейшего продвижения по инфраструктуре.

Кроме того, доступ к ISE может раскрыть информацию о подключённых устройствах и пользователях и повлиять на работу механизмов сетевой аутентификации.

Получается опасная комбинация: удалённая эксплуатация, отсутствие необходимости в учётной записи и подтверждённая активность злоумышленников.

✅ Что важно сделать сейчас

Для CVE-2026-76460 Cisco не указала полноценного обходного решения. Основной способ устранить уязвимость — перейти на исправленную версию:

• ISE 3.1 Patch 12;
• ISE 3.2 Patch 11;
• ISE 3.3 Patch 12;
• ISE 3.4 Patch 7;
• ISE 3.5 Patch 4.

Если обновление невозможно выполнить сразу, стоит как минимум максимально ограничить сетевой доступ к административным интерфейсам ISE.

Отдельное внимание стоит уделить журналам: поскольку уязвимость связана с обходом аутентификации через API, при расследовании имеет смысл искать необычные или неожиданные обращения к соответствующим интерфейсам.

В отличие от многих критических уязвимостей, где организации получают время на плановое обновление, здесь уже есть подтверждение эксплуатации. Поэтому проверка затронутых систем и установка исправления должны рассматриваться в контексте текущего риска, а не только как плановая задача по обновлению ПО.

‼️ VMware vCenter: критическую уязвимость начали использовать в атаках с ransomware

Уязвимость CVE-2026-59310 в VMware vCenter Server уже используется злоумышленниками в атаках с ransomware.

Проблема связана с directory traversal в компоненте Syslog Server. При наличии сетевого доступа удалённый злоумышленник без аутентификации может получить возможность воздействовать на файловую систему, а в определённых условиях — добиться выполнения произвольного кода.

Broadcom выпустила исправление ещё 29 июля 2026 года. Однако наличие патча не остановило эксплуатацию: в сентябре CISA предупредила, что уязвимость используется в атаках, связанных с ransomware.

Ранее исследователи выявили более 361 IP-адреса из 47 стран, связанных с эксплуатацией CVE-2026-59310. Также были обнаружены сотни серверов vCenter, доступных непосредственно из интернета.