Cisco ISE の CVE-2026-76460: API の認証バイパスで管理画面へ不正アクセス、CISA KEV 掲載・CVSS 10.0

Cisco Identity Services Engine（ISE）の API に、認証なしで悪用できる認証バイパスの脆弱性 CVE-2026-76460 が見つかりました。細工したリクエストを特定の API エンドポイントへ送るだけで、Web ベースの管理インターフェースの認証を回避し、機器へ不正にアクセスできる可能性があります。CISA は 2026-09-16 に KEV（悪用が確認された脆弱性）カタログへ追加し、対応期限を 2026-09-19 としました。CVSS v3.1 は 10.0（Cisco による。AV:N/AC:L/PR:N/UI:N/S:C）、EPSS は 0.76 です。

概要

項目	内容
CVE	CVE-2026-76460
製品	Cisco Identity Services Engine（ISE）、ISE Passive Identity Connector
問題	API エンドポイントの認証制御が不十分で、認証を回避できる（CWE-648: 特権 API の不適切な使用）
攻撃条件	ネットワーク経由。認証・ユーザー操作は不要
結果	管理インターフェースの認証回避による、機器への不正アクセス
悪用状況	CISA KEV に 2026-09-16 追加（対応期限 2026-09-19）。CISA の SSVC 評価では悪用は active、自動化は可能（yes）、技術的影響は total

• ISE はネットワークへの接続可否を決める認証・認可の基盤です。管理インターフェースを奪われると、アクセスポリシーや認証に関わる情報に影響が及ぶおそれがあります。
• NVD の説明では、攻撃の結果は「機器への不正アクセス」とされています。コード実行などの具体的な影響の範囲は、今回確認できた範囲では記載がありません。

影響範囲

NVD に掲載された Cisco の対象データでは、次の版が影響を受けるとされています。

• Cisco ISE: 3.1.0、3.2、3.3、3.4、3.5 の各版（パッチ適用済みの版を含む。3.1.0 は Patch 8〜11、3.2 は Patch 7〜10、3.3 は Patch 1〜11、3.4 は Patch 1〜6、3.5 は 3.5.0 と Patch 1〜3 が列挙されている）
• Cisco ISE Passive Identity Connector: 3.4.0、3.5.0

どのパッチ版で修正されるかは、今回取得できた情報では確認できていません。

修正と対策

• Cisco のセキュリティ勧告（cisco-sa-ISE-ABP-VNSW7Tn5）を確認し、案内された修正または緩和策を適用する。 NVD は同勧告を「Mitigation（緩和策）」「Vendor Advisory」として参照しています。
• ISE の管理インターフェースと API を、インターネットや信頼できないネットワークから到達できる状態にしていないかを確認し、管理用ネットワークに限定する。
• 悪用が確認されているため、2026-09-16 以降の管理インターフェースと API へのアクセスログ、不審な管理者アカウントや設定変更がないかを調べる。
• CISA の指示に従い、ベンダーの手順に沿った緩和策を適用する。緩和策が使えない場合は製品の使用を中止する。期限（2026-09-19）はすでに過ぎています。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed
CVSS v3.1	10.0（Cisco による。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。NIST 自身の評価は未掲載
CWE	CWE-648
EPSS	0.7560（パーセンタイル 0.9952、FIRST、2026-11-02 時点）
KEV	掲載あり（2026-09-16 追加、対応期限 2026-09-19）。名称は「Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability」
出典	NVD、Cisco のセキュリティ勧告、FIRST、CISA

未確認の点

• Cisco 勧告の本文（修正版の版番号、回避策の詳細、侵害の確認方法）。勧告ページはスクリプト表示のため、今回は本文を取得できていない。
• 修正が提供される版と、パッチ未適用の版での暫定対策。
• 攻撃の標的・規模・攻撃者、およびランサムウェア攻撃での利用。
• 認証回避の後に実行できる操作の具体的な範囲。