Cisco ISE ข้ามการยืนยันตัวตน CVE-2026-76460
ผู้ดูแล Cisco ISE และ ISE-PIC รุ่นที่มีช่องโหว่ควรเร่งติดตั้งแพตช์และตรวจร่องรอยการบุกรุก เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีระยะไกลที่ยังไม่ยืนยันตัวตนสามารถข้ามการตรวจสอบผ่าน API และเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต
- Who should read
- ผู้ดูแลระบบที่ใช้ Cisco ISE หรือ ISE-PIC รุ่นที่มีช่องโหว่ ต้องเร่งแพตช์และตรวจร่องรอยการบุกรุกทุก node
- Fix in short
- อัปเดตเป็นรุ่นแก้ไขตามตาราง โดยสาย 3.0 ที่สิ้นสุดการบำรุงรักษาซอฟต์แวร์แล้วต้องย้ายไปสายรุ่นที่ยังรองรับและมีแพตช์
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-76460 ของ Cisco Identity Services Engine (ISE) และ Cisco ISE Passive Identity Connector (ISE-PIC) ซึ่งเปิดทางให้ผู้โจมตีเข้าถึงอุปกรณ์โดยไม่ต้องยืนยันตัวตน รายการนี้ถูกเพิ่มเข้า KEV วันที่ 16 กันยายน 2026 และมีการโจมตีจริงแล้ว กำหนดแก้ไขที่ CISA ระบุคือ 19 กันยายน 2026 ผู้ดูแลควรใช้ข้อมูลนี้ประกอบการจัดลำดับงานแพตช์แบบเร่งด่วน ดูรายละเอียดได้จาก รายการ KEV ทางการของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ Cisco ISE หรือ ISE-PIC รุ่นที่มีช่องโหว่ ให้เร่งอัปเดตเป็นรุ่นที่แก้แล้วและตรวจร่องรอยการบุกรุกทุก node โดยไม่รอรอบบำรุงรักษาปกติ
เกิดอะไรขึ้น
จุดบกพร่องอยู่ที่ API endpoint ซึ่งตรวจการยืนยันตัวตนไม่ครบ ผู้โจมตีส่งคำขอที่เตรียมไว้ผ่านเครือข่ายไปยัง endpoint นี้ได้ แล้วข้ามการยืนยันตัวตนของหน้าจัดการผ่านเว็บเพื่อเข้าถึงอุปกรณ์ Cisco จัดปัญหานี้เป็น Incorrect Use of Privileged APIs หรือ CWE-648 ตาม ระเบียน CVE ที่ Cisco เป็นผู้รายงาน
คะแนน CVSS 3.1 อยู่ที่ 10.0 ระดับ Critical ผู้โจมตีเข้าถึงผ่านเครือข่ายได้โดยไม่ต้องมีสิทธิ์เดิม และไม่ต้องให้ผู้ใช้กดอะไร ผลกระทบต่อความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานอยู่ในระดับสูง อ้างอิง ข้อมูล CVE ทางการในรูปแบบ JSON
ใครโดนและรุ่นที่แก้
Cisco ระบุว่า ISE และ ISE-PIC ได้รับผลกระทบโดยไม่ขึ้นกับการตั้งค่า ตารางนี้แสดงแพตช์แรกที่แก้ปัญหาในแต่ละสายรุ่น ต้องตรวจทั้งหมายเลข release และ patch ของอุปกรณ์ให้ตรงกัน ตาม ประกาศ Cisco
| สายรุ่น ISE / ISE-PIC | รุ่นแรกที่แก้แล้ว |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
สำหรับ ISE 3.0 นั้น Cisco ระบุว่าสิ้นสุดการบำรุงรักษาซอฟต์แวร์แล้ว และแนะนำให้ย้ายไปสายรุ่นที่ยังรองรับและมีตัวแก้ไข อย่าใช้หมายเลขแพตช์ของอีกสายรุ่นมาตัดสินว่าเครื่องปลอดภัย
ต้องทำอะไร
เริ่มจากทำบัญชีอุปกรณ์และตรวจรุ่นที่ติดตั้งจริงทุก node จากนั้นเตรียมข้อมูลสำรองและติดตั้งรุ่นแก้ไขตามคู่มืออัปเกรดของ Cisco หลังดำเนินการให้ตรวจหมายเลขแพตช์ซ้ำ พร้อมทดสอบการทำงานที่องค์กรใช้อยู่เพื่อยืนยันผล
Cisco ไม่มี workaround ที่แก้ช่องโหว่นี้ได้ แต่แนะนำให้ใช้ infrastructure ACLs (iACLs) อนุญาตเฉพาะ management และ control plane traffic ที่จำเป็นมายังอุปกรณ์ ระหว่างเตรียมอัปเดต
ให้ตรวจเหตุควบคู่กับการแพตช์ Cisco ให้ตรวจชื่อผู้ใช้ที่น่าสงสัยใน access.log ของทุก node แล้วเทียบกับ network log หรือ firewall log ที่เก็บนอกอุปกรณ์ ผู้โจมตีอาจรันคำสั่งเป็น root และลบหรือซ่อนหลักฐานบนเครื่องได้ หากสงสัยว่าถูกเจาะ Cisco แนะนำให้ติดตั้งระบบใหม่บน node ที่ได้รับผลกระทบ แล้วกู้คืนการตั้งค่าจาก backup หากจำเป็น ดูรายละเอียดใน หัวข้อ Indicators of Compromise ของประกาศ Cisco
ส่วนตัวผมให้รายการนี้เป็นงานแพตช์เร่งด่วน เพราะยืนยันการโจมตีจริงแล้ว และควรตรวจร่องรอยควบคู่กับการอัปเดต ที่มา: CISA KEV / CVE-2026-76460 (https://www.cve.org/CVERecord?id=CVE-2026-76460) และ Cisco Identity Services Engine Authentication Bypass Vulnerability หากมีรายละเอียดที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first