先說結論：管理 Cisco Identity Services Engine 的團隊應核對 CVE-2026-76460。ISE 是用於網路身分識別與存取政策的管理平台；ISE-PIC 則是相關的被動身分連接元件。Cisco 在 2026 年 9 月 16 日公告，未登入的遠端攻擊者可能繞過某個 API 端點的身分檢查，取得原本不應有的管理存取。原廠表示知道活躍利用，CISA 同日收錄 KEV。應優先盤點實際版本、分散式部署中的全部節點及管理流量限制，並將軟體更新與疑似受害時的調查分開處理。
背景與前因：ISE 涉及企業設備入網和權限政策，安全管理不能只看一個登入頁面。API 是系統間交換資料的介面，即使前台管理畫面要求驗證，後端端點也必須執行相同的存取檢查。Cisco 的九月公告針對這一個 CVE 說明產品與修補條件，不應把同月其他 ISE 公告的弱點混到一起。公告指出問題在受影響 ISE 與 ISE-PIC 中不受特定設定限制，因此只要確定產品版本落在受影響分支，就應安排正式更新。
原因與前置條件：Cisco 說原因是 API 端點的驗證控制不足，可能讓未登入者越過網頁管理介面的身分檢查。驗證繞過的白話意思是本來應先確認操作者身分的關卡沒有如預期阻擋請求。原廠對成功利用的說明包括可能取得對設備的未授權存取；事件應變段落還提醒，若已取得最高權限，裝置上的痕跡可能被隱藏。這些是原廠提出的風險與調查理由，不代表每個低版號站點都已有最高權限入侵。本文不提供端點位置或可重現的請求細節。
影響範圍：Cisco 將 ISE 與 ISE-PIC 納入受影響產品，修補表分別列出 3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7 與 3.5 Patch 4 作為對應分支的首個修正版。原廠說 3.0 已結束軟體維護，應遷移到含修補的受支援版本。不能把 3.5 Patch 4 當成所有站點唯一可行的升級目的地，也不能將某一個節點的修補結果套用到整個分散式部署。軟體分支、節點角色、相容性及更新順序需由實際環境確認。
這個事件至少有兩個需要分開閱讀的官方時間點。Cisco 在 2026-09-16 公開與 CVE-2026-76460 相關的產品資訊；CISA 於 2026-09-16 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。兩個來源沒有提供任何特定讀者組織的設備日誌或受害名單，也沒有證明所有 Cisco 網路設備都受這個 CVE 影響。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Cisco Identity Services Engine 與 ISE-PIC，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先從 ISE 管理與資產資料列出管理節點、政策節點、ISE-PIC 和備援節點，逐一記錄版號。依 Cisco 表格安排對應分支修補；若還在 3.0，評估遷移路線。原廠表示沒有能替代修補的完整權宜措施，但可用基礎設施存取控制清單限制必要的管理與控制平面流量，作為臨時降低遠端暴露的措施。更新後回讀每個節點的版本，測試身份政策和關鍵連線，並確認流量不會切回尚未修補的節點。
盤點時可以把每一個ISE 節點寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排版本修補與節點驗證之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
Cisco 建議在疑似受害時查看每個節點的存取日誌，並與設備外部的網路及防火牆紀錄交叉比對。若有惡意活動跡象，原廠建議對受影響節點重新安裝映像，再視需要從可信的組態備份還原。這些動作可能改變現場證據，應由事件應變人員先保存紀錄與時間線，再依正式程序決定。分散式部署的特殊風險是只檢查其中一台機器容易漏掉其他節點；而沒有單一可疑日誌，也不等於足以排除所有事件。
仍須由使用單位自行回答的問題是：目前有多少ISE 節點、哪些仍在受影響版本、版本修補與節點驗證是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Cisco 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-76460，原廠事件日期為 2026-09-16，CISA KEV 收錄日為 2026-09-16，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Cisco Identity Services Engine 與 ISE-PIC 的實際部署範圍、按原廠指引完成版本修補與節點驗證、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Cisco Identity Services Engine Authentication Bypass Vulnerability（Cisco）
- Known Exploited Vulnerabilities Catalog — CVE-2026-76460（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。