Ciscoは米国時間2026年9月16日、「Cisco Identity Services Engine（ISE）」の15件のセキュリティアドバイザリを公開しました。ISEは、ネットワークの認証やアクセス制御を担う製品です。CVEの単位で数えると、対象の脆弱性は42件です。
このうち、APIの認証回避の脆弱性「CVE-2026-76460」については、悪用が確認されています。回避策はなく、Ciscoは修正版へのアップデートを強く推奨しています。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も同日、この脆弱性を悪用確認済みのリストに加えました。
15件のアドバイザリで42件のCVEを公表
42件のうち、CVSS基本値が9.0以上の脆弱性は13件あります。7.0以上9.0未満が5件で、残りの24件は7.0未満です。種類は、認証回避やリモートでのコード実行、コマンドインジェクション、SQLインジェクションなど多岐にわたります。
CVSS基本値が10.0の脆弱性は4件です。悪用が確認されたCVE-2026-76460のほか、REST APIの認証回避「CVE-2026-76423」が含まれます。CVE-2026-76423が悪用されると、認証なしで管理者権限を得られ、ISEの設定やID情報を読み書きされるおそれがあります。
15件のうち1件は、社内での包括的なセキュリティレビューの結果をまとめた「ハードニングリリース」です。Ciscoは、既存のテスト工程とフロンティアAIモデルを使った社内テストで、これらを見つけたとしています。脆弱性はCWE（共通脆弱性タイプ）の分類ごとに1つのCVE番号にまとめられ、対象は6件です。
悪用が確認された認証回避「CVE-2026-76460」
CVE-2026-76460は、ISEのAPIエンドポイントで認証の制御が不十分なことに起因します。攻撃者は、細工したリクエストを送るだけで認証を回避できます。認証は不要で、リモートから攻撃が可能です。CVSS基本値は10.0です。
影響を受けるのは、ISEとISE Passive Identity Connector（ISE-PIC）です。デバイスの設定に関係なく影響を受けます。悪用に成功した攻撃者は、root権限でコマンドを実行できる可能性があるとCiscoは説明しています。
回避策はありませんが、緩和策は示されています。インフラ用のアクセス制御リスト（iACL）を使い、機器に届く通信を管理とコントロールプレーンに必要なものだけに絞る方法です。Ciscoは、これをあくまで一時的な対策と位置付けています。
悪用の確認が明記されたのは、15件のアドバイザリのうちこの1件だけです。ほかに4件のアドバイザリでは、脆弱性の情報が公開されていることをCiscoが把握しています。CISAはCVE-2026-76460を9月16日にカタログへ追加し、米連邦政府機関の対応期限を9月19日としました。
侵害の痕跡を確認する方法
Ciscoは、攻撃の試行を確認する手順も示しています。ログファイル「access.log」を調べ、不審なユーザー名が記録されていないかを確認します。分散構成の場合は、すべてのノードでログを確認する必要があります。
不審な記録が見つかった場合、Ciscoは該当ノードの再イメージ化を強く推奨しています。必要に応じて、設定のバックアップから復元します。攻撃者がroot権限を得ると、痕跡を消したり隠したりできる点にも注意が必要です。
そのためCiscoは、ISEの外側にあるネットワークやファイアウォールのログとの照合を勧めています。機器から外部IPアドレスへの想定外のアップロードや、不正なIPアドレスからのダウンロードがないかを確認します。
修正版と、サポート終了版の扱い
悪用が確認されたCVE-2026-76460を修正した最初のリリースは、次のとおりです。ハードニングリリースの修正版も、同じ番号のパッチです。
ISE／ISE-PICのリリース | 最初の修正版 |
|---|---|
3.1 | 3.1 Patch 12 |
3.2 | 3.2 Patch 11 |
3.3 | 3.3 Patch 12 |
3.4 | 3.4 Patch 7 |
3.5 | 3.5 Patch 4 |
ISE 3.0は、ソフトウェア保守の提供が終わっています。修正を含むサポート対象のリリースへの移行が必要です。3.1と3.2はソフトウェア保守の段階にあり、深刻度がCriticalの修正しか含まれません。Ciscoは、ハードニングの修正をすべて受けるには、新しいリリースへの移行を勧めています。
ISE-PICは販売終了日を過ぎており、3.4が最後のサポート対象リリースです。一部の脆弱性では、3.1や3.2に修正版がなく、移行が必要とされています。自社のバージョンが個別のアドバイザリでどう扱われているかを確認する必要があります。
企業への示唆
ISEを使っている企業は、まず稼働中のバージョンとパッチの適用状況を確認してください。CVE-2026-76460は認証なしで悪用でき、実際に攻撃も確認されています。修正版を速やかに適用することが最優先です。
すぐに更新できない場合は、iACLで機器に届く通信を必要なものだけに制限します。そのうえで、access.logの確認を全ノードで実施してください。ISEはネットワーク認証の中核を担うため、侵害されると社内ネットワーク全体に影響が及びかねません。
3.0や3.1、3.2を使い続けている組織は、今回を移行計画を見直す機会にするとよいでしょう。保守が限定されたリリースでは、今後の修正を受けられない脆弱性が残る可能性があります。ISE-PICを使っている場合は、製品のライフサイクルも含めた検討が求められます。
まとめ
CiscoはISEについて15件のアドバイザリで42件の脆弱性を公表し、そのうち認証回避のCVE-2026-76460は悪用が確認されています。米CISAも同日に悪用確認済みのリストへ追加しており、対応の緊急度は高いといえます。
日本国内での被害状況や、攻撃の規模については、公式情報では示されていません。修正版の適用と侵害の痕跡の確認を、あわせて進めることが重要です。
