„Cisco“ rugsėjo 16 d. paskelbė apie kelias „Identity Services Engine“ (ISE) ir ISE-PIC saugumo spragas. Rimčiausiai iš jų, CVE-2026-76423, suteiktas maksimalus 10,0 CVSS pavojingumo įvertinimas.
„Cisco ISE“ naudojama organizacijų tinkluose tapatybėms, įrenginiams ir prieigos teisėms valdyti, todėl tokios sistemos saugumas gali būti svarbus visai organizacijos infrastruktūrai.
CVE-2026-76423 leidžia autentifikacijos neturinčiam nuotoliniam užpuolikui per pažeidžiamą REST API gauti administratoriaus prieigą. Sėkmingai išnaudojus spragą būtų galima skaityti ir keisti ISE konfigūraciją bei tapatybių duomenis. Kitos paskelbtos spragos gali sudaryti sąlygas, be kita ko, vykdyti SQL injekcijos atakas, pasiekti failus ar tam tikrais atvejais vykdyti komandas sistemoje.
Svarbi detalė: „Cisco“ paskelbimo metu neturėjo duomenų apie šių konkrečių spragų piktavališką išnaudojimą. Tačiau gamintojas jau pateikė pataisytas programinės įrangos versijas, o laikinų sprendimų, visiškai pašalinančių pažeidžiamumus, nėra.
Organizacijoms, naudojančioms „Cisco ISE“ ar ISE-PIC, verta inventorizuoti turimas versijas ir suplanuoti atnaujinimą pagal gamintojo rekomendacijas. Tai dar vienas priminimas, kad tapatybės ir tinklo prieigos valdymo sistemos turėtų būti tarp prioritetinių infrastruktūros komponentų, kurių saugumo pataisos vertinamos nedelsiant.