CVE-2026-76460 : Cisco ISE auth bypass CVSS 10 — KEV CISA

Les faits

La vulnérabilité CVE-2026-76460, divulguée par Cisco PSIRT en septembre 2026, représente le scénario le plus redouté en matière de sécurité réseau : un contournement d'authentification total sur une solution de contrôle d'accès réseau critique, notée 10.0 sur l'échelle CVSS 3.1 — le score maximum absolu. Cette faille, classifiée CWE-306 (Missing Authentication for Critical Function), affecte directement Cisco Identity Services Engine (ISE) et son composant Cisco ISE Passive Identity Connector (ISE-PIC), deux solutions massivement déployées dans les entreprises pour gérer les politiques d'accès réseau en environnement 802.1X, segmentation et Zero Trust.

Techniquement, la vulnérabilité réside dans un contrôle d'authentification insuffisant sur un endpoint d'API exposé dans l'interface de gestion web de Cisco ISE. Un attaquant non authentifié disposant uniquement d'un accès réseau au port de gestion peut envoyer une requête HTTP spécialement forgée vers cet endpoint vulnérable pour court-circuiter entièrement le mécanisme d'authentification. Une fois le bypass réalisé, l'attaquant obtient des privilèges d'exécution de commandes arbitraires avec les droits root sur le nœud ISE ciblé. Il ne s'agit pas d'une simple élévation de privilèges : l'ensemble du système de contrôle d'accès réseau peut être compromis en une seule requête non authentifiée.

Le vecteur d'attaque CVSS est défini comme suit : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur, impact sur la confidentialité, l'intégrité et la disponibilité maximum, avec un scope élargi (Changed) indiquant que la compromission peut s'étendre au-delà du composant vulnérable initial. Ce vecteur traduit une exploitabilité maximale depuis Internet ou depuis tout réseau ayant accès au port d'administration de Cisco ISE (par défaut TCP 443), sans aucune condition préalable particulière côté attaquant.

La chronologie de la découverte et de la divulgation est particulièrement instructive sur l'urgence de la situation. Cisco a initialement corrigé silencieusement cette vulnérabilité dans les versions de septembre 2026 sans publier d'advisory public détaillé. La gravité réelle a été mise en lumière lors de l'analyse des changelogs par des chercheurs en sécurité tiers, qui ont identifié la nature critique du correctif. Face à la pression de la communauté, Cisco PSIRT a publié un advisory complet le 15 septembre 2026, confirmant l'exploitation active en conditions réelles. Moins de 24 heures après la publication officielle, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-76460 à son catalogue Known Exploited Vulnerabilities (KEV) le 16 septembre 2026, avec une deadline fédérale de remédiation fixée au 19 septembre — soit seulement trois jours après divulgation, un délai exceptionnel reflétant la criticité maximale évaluée par les agences gouvernementales américaines.

Cisco a confirmé dans son advisory que son équipe PSIRT a connaissance d'exploitations actives de CVE-2026-76460 dans des environnements de production. Les détails techniques des attaques observées n'ont pas été entièrement divulgués pour éviter de faciliter de nouvelles exploitations, mais des chercheurs de BitSight et d'OpenVPN ont documenté des tentatives d'exploitation massives à partir de scanners automatisés cherchant des instances ISE exposées sur Internet. Des acteurs de menace opportunistes ont rapidement intégré cette vulnérabilité dans leurs outils d'intrusion automatisés, rendant toute instance ISE accessible depuis Internet extrêmement vulnérable à une compromission rapide et sans intervention humaine côté attaquant.

D'un point de vue fonctionnel, Cisco Identity Services Engine est le cœur du contrôle d'accès réseau dans de nombreuses grandes organisations. Il gère l'authentification des utilisateurs et des équipements via les protocoles RADIUS et TACACS+, applique les politiques de segmentation réseau, pilote les solutions NAC (Network Access Control) et s'intègre avec les SIEM, MDM et les firewalls de nouvelle génération. Une compromission d'ISE donne accès à l'ensemble de la politique de sécurité réseau : l'attaquant peut modifier les règles d'accès, créer des comptes administrateurs fantômes, extraire les secrets RADIUS et TACACS+ utilisés par tous les équipements réseau de l'organisation, et pivoter vers l'ensemble de l'infrastructure en contournant les contrôles de segmentation mis en place.

Aucun code de preuve de concept (PoC) public n'a été officiellement publié lors de la divulgation initiale, mais Cisco a indiqué qu'un PoC fonctionnel circulait dans des cercles privés parmi les chercheurs en sécurité. L'absence de workaround côté vendeur — Cisco PSIRT a explicitement précisé qu'aucune mitigation temporaire n'est disponible — rend le patching immédiat absolument impératif. Les versions corrigées sont Cisco ISE 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4, toutes disponibles via le Cisco Software Center. Les organisations utilisant des versions antérieures à 3.1 doivent procéder à une mise à niveau complète vers une release maintenue avant d'appliquer le correctif.

Selon les analyses de Shodan et de Censys menées par plusieurs équipes de recherche en sécurité après la divulgation, plusieurs milliers d'interfaces de gestion Cisco ISE sont directement exposées sur Internet sans restriction d'accès IP. Cette surface d'attaque considérable explique la rapidité avec laquelle des acteurs de menace automatisés ont commencé à exploiter CVE-2026-76460, et pourquoi la CISA a jugé nécessaire d'imposer un délai de remédiation aussi court aux agences fédérales américaines. Le Cisco ISE Passive Identity Connector (ISE-PIC), version allégée souvent considérée à tort comme moins critique, partage la même base de code vulnérable et présente exactement le même risque d'exploitation.

Impact et exposition

Cisco Identity Services Engine est déployé principalement dans des environnements d'entreprise de taille moyenne à grande, des opérateurs de services gérés (MSP/MSSP), des administrations publiques et des opérateurs d'infrastructures critiques. Toute organisation ayant déployé Cisco ISE versions 3.1, 3.2, 3.3, 3.4 ou 3.5 sans les patches de septembre 2026 est exposée. L'exploitation ne requiert qu'un accès réseau à l'interface d'administration — généralement TCP 443 — sans compte valide ni aucun prérequis supplémentaire côté attaquant.

Le risque est maximal pour les organisations dont l'interface d'administration ISE est exposée directement sur Internet ou accessible depuis des zones réseau non fiables. Même dans des configurations où l'accès à ISE est restreint au réseau interne, une compromission préalable d'un seul poste sur le LAN suffit à exploiter CVE-2026-76460 et à prendre le contrôle total du NAC. Cette capacité de pivot représente un risque de mouvement latéral critique : depuis un poste compromis, un attaquant peut modifier les politiques d'accès pour s'autoriser l'accès à l'ensemble des segments réseau de l'organisation, en contournant toutes les mesures de segmentation déployées.

Les secteurs les plus exposés incluent les télécommunications, la santé, les services financiers, les administrations publiques et les fournisseurs de services gérés — tous des environnements où Cisco ISE est massivement utilisé. L'exploitation confirmée active indique que des compromissions sont en cours dans des organisations non patchées, avec des risques allant de l'espionnage industriel à l'installation de ransomwares après modification des politiques d'accès réseau pour faciliter le déplacement latéral et la persistance de l'attaquant.

Recommandations immédiates

• Appliquer immédiatement les correctifs — Cisco Security Advisory cisco-sa-ise-auth-bypass-CVE-2026-76460 : ISE 3.1 Patch 12, ISE 3.2 Patch 11, ISE 3.3 Patch 12, ISE 3.4 Patch 7, ISE 3.5 Patch 4 via Cisco Software Center
• Versions antérieures à 3.1 : effectuer une mise à niveau vers une branche maintenue avant d'appliquer le patch correctif
• Restreindre immédiatement l'accès à l'interface d'administration ISE (TCP 443) aux seules adresses IP de gestion autorisées via ACL réseau ou règles firewall
• Auditer les logs ISE pour détecter des requêtes API anormales non authentifiées sur les 30 derniers jours (logs Administration > System > Logging)
• Vérifier l'intégrité des comptes administrateurs ISE et des politiques NAC pour détecter toute modification non autorisée
• En cas de compromission suspectée : isoler le nœud ISE, préserver les logs pour forensique, et procéder à une réinstallation complète depuis une image propre avant restauration de la configuration