BDU:2026-14799 (CVE-2026-76460) — уязвимость прикладного программного интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE)
По данным БДУ ФСТЭК России, по состоянию на 18.09.2026.
Критический — 10.0/10 Публичный эксплойт Есть инциденты ИБ Устранена
Уязвимость прикладного программного интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE) связана c ошибками при использовании привилегированных прикладных программных интерфейсов (API). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации с помощью специально сформированного запроса
Кого касается и что делать
- Уязвимое ПО: Cisco Identity Services Engine (Cisco Systems) — версии 3.1.0 p8, 3.1.0 p9, 3.1.0 p10, 3.1.0 p11, 3.2.0 p7, 3.2 Patch 8, 3.2 Patch 9, 3.2 Patch 10, 3.3 Patch 2, 3.3 Patch 1, 3.3 Patch 3, 3.3 Patch 4, 3.3 Patch 5, 3.3 Patch 6, 3.3 Patch 7 и др.; Identity Services Engine Passive Identity Connector (ISE-PIC) (Cisco Systems) — версии 3.4.0
- Что делать: уязвимость устранена производителем — применить исправления: sec.cloudapps.cisco.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2026-14799 · CVE-2026-76460 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 10.0; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость прикладного программного интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE), позволяющая нарушителю обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации |
| Даты | Опубликована: 17.09.2026 · Обновлена ФСТЭК: 18.09.2026 · Выявлена: 16.09.2026 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-648 — неправильное использование привилегированных API |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: злоупотребление функционалом |
Уязвимое ПО
- Cisco Identity Services Engine (Cisco Systems) — версии 3.1.0 p8, 3.1.0 p9, 3.1.0 p10, 3.1.0 p11, 3.2.0 p7, 3.2 Patch 8, 3.2 Patch 9, 3.2 Patch 10, 3.3 Patch 2, 3.3 Patch 1, 3.3 Patch 3, 3.3 Patch 4, 3.3 Patch 5, 3.3 Patch 6, 3.3 Patch 7 и др. · ПО сетевого программно-аппаратного средства
- Identity Services Engine Passive Identity Connector (ISE-PIC) (Cisco Systems) — 3.4.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций производителя
- sec.cloudapps.cisco.com/security/center/content/CiscoSecu…
