16 सितंबर 2026 को Cisco ने CVE-2026-76460 के लिए एक सुरक्षा सूचना जारी की, जो Identity Services Engine और ISE Passive Identity Connector को प्रभावित करती है। CVSS बेस स्कोर 10.0 है, जो इस पैमाने का अधिकतम अंक है। कारण एक API एंडपॉइंट पर अपर्याप्त प्रमाणीकरण नियंत्रण है, और नतीजा यह है कि बिना प्रमाणीकरण वाला दूरस्थ हमलावर एक खास तरह से बनाया गया अनुरोध भेजकर प्रबंधन इंटरफ़ेस तक पहुँच सकता है। Cisco साफ़ कहता है कि उसकी PSIRT को सक्रिय दुरुपयोग की जानकारी है, और कोई वैकल्पिक उपाय उपलब्ध नहीं है।

तकनीकी नाम किसी व्यवसाय मालिक के लिए ज़्यादा मायने नहीं रखता। परिचालन अर्थ सब कुछ बता देता है: प्रभावित उपकरण कोई फ़ाइल सर्वर या नेटवर्क प्रिंटर नहीं है। यह वह उपकरण है जिससे बाकी नेटवर्क कनेक्ट होने की कोशिश करने वाले हर व्यक्ति की पहचान पूछता है। यही तय करता है कि यह लैपटॉप किसी अधिकृत कर्मचारी का है, यह फ़ोन किसी आगंतुक का है जिसकी जगह अतिथि नेटवर्क पर है, और यह आपूर्तिकर्ता ठीक एक सिस्टम तक पहुँचेगा। जब यह फ़ैसला लेने वाला अधिकार ढह जाता है, तो आप एक सेवा नहीं खोते। आप वह नींव खो देते हैं जिस पर हर सेवा खड़ी है।

हम असल में क्या जानते हैं

ये तथ्य प्रेस की खबरों से नहीं, बल्कि Cisco की अपनी सूचना और CISA के Known Exploited Vulnerabilities (ज्ञात रूप से दुरुपयोग की गई कमज़ोरियाँ) कैटलॉग से लिए गए हैं:

  • प्रभावित उत्पाद: Cisco Identity Services Engine और ISE Passive Identity Connector, रिलीज़ 3.1 से 3.5 तक।
  • सुधरे हुए रिलीज़: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 और 3.5 Patch 4।
  • दुरुपयोग की पूर्व शर्त: कोई नहीं। दूरस्थ, बिना प्रमाणीकरण वाला हमलावर, API एंडपॉइंट पर एक खास तरह से बनाया गया अनुरोध, न खाता न पासवर्ड।
  • स्थिति: Cisco PSIRT के अनुसार सक्रिय रूप से दुरुपयोग हो रहा है, और 16 सितंबर 2026 को Known Exploited Vulnerabilities कैटलॉग में जोड़ा गया, अमेरिकी संघीय एजेंसियों के लिए सुधार की अंतिम तिथि 19 सितंबर 2026 है।
  • वैकल्पिक उपाय: कोई नहीं। Cisco जिस एकमात्र बचाव का उल्लेख करता है वह है पैच लगने तक इंफ्रास्ट्रक्चर एक्सेस कंट्रोल लिस्ट से उपकरण तक पहुँच सीमित करना।

इस सूची के तीन शब्दों पर रुककर सोचना चाहिए: दूरस्थ, बिना प्रमाणीकरण, और कोई वैकल्पिक उपाय नहीं। जिस कमज़ोरी में इनमें से कोई एक भी न हो, वह आपको साँस लेने की गुंजाइश देती है। यह कमज़ोरी पैच लगाने या अलग करने के सिवा कुछ नहीं छोड़ती।

पहचान उपकरण आपके किसी भी दूसरे सर्वर से ज़्यादा ख़तरनाक क्यों हैं

कॉर्पोरेट नेटवर्क में सिस्टम अपनी सेंध के परिणामों में बराबर नहीं होते। रिपोर्टिंग सर्वर में सेंध लगे तो आप रिपोर्ट खोते हैं। पहचान और पहुँच को नियंत्रित करने वाले उपकरण में सेंध लगे तो आपने एक उपकरण नहीं खोया। आपने पूरे नेटवर्क में अनुमति शब्द का अर्थ खो दिया है।

जो कोई ऐसे सिस्टम का प्रशासनिक नियंत्रण हासिल कर लेता है, वह सिद्धांत रूप में नीतियाँ ही बदल सकता है — किसी नियंत्रण को मात देने की कोशिश करने के बजाय एक अधिकृत पहचान गढ़ सकता है। यही मूल अंतर है। हमला लॉग में असामान्य दिखने वाली घुसपैठ नहीं रह जाता, बल्कि पूरी तरह वैध दिखने वाला प्रवेश बन जाता है, क्योंकि वह उसी दरवाज़े से आया जिस पर आप भरोसा करते हैं। इसे पकड़ना सबसे कठिन होता है, क्योंकि निगरानी इस धारणा पर बनी होती है कि पहचान सिस्टम जिसे मंज़ूरी देता है वह परिभाषा से ही मंज़ूर है।

इसके साथ यह भी जोड़ें कि ये उपकरण कहाँ स्थित होते हैं। ये नेटवर्क के बीच में रहते हैं और हर सेगमेंट से जुड़े होते हैं, क्योंकि इनके काम के लिए यह ज़रूरी है। इसलिए उपकरण पर पैर जमाना उसके पीछे की हर चीज़ तक जाने वाली खुली सड़क पर पैर जमाना है। यही कारण है कि पहचान, पहुँच और प्रमाणीकरण सिस्टम सामान्य नेटवर्क उपकरण सूची में नहीं, बल्कि अहम संपत्तियों की सूची में सबसे ऊपर होने चाहिए। हमने यही तर्क एक अलग नज़रिए से उस एकल विफलता बिंदु पर जिसे कोई नक्शे में नहीं उतारता वाले लेख में समझाया था।

सबक Cisco के बारे में नहीं है

इसे एक विक्रेता के एक उत्पाद की खबर के रूप में पढ़ना आसान है। यह पढ़ना आरामदायक है और बेकार भी। Cisco ने सुधार जारी किया और दुरुपयोग की स्थिति स्पष्ट रूप से बताई, जो एक परिपक्व विक्रेता को करना चाहिए। हर विक्रेता के सुरक्षा उपकरणों में कमज़ोरियाँ होती हैं, क्योंकि वे सॉफ़्टवेयर हैं, और ऐसी ही सूचनाएँ आगे भी आएँगी।

साथ ले जाने लायक सवाल यह नहीं कि आप Cisco चलाते हैं या नहीं। सवाल यह है कि क्या आप जानते हैं कि कौन से उपकरण और सिस्टम आपके नेटवर्क के उपयोगकर्ताओं को प्रमाणित करते हैं, वे किस संस्करण पर हैं, उन पर पैच लगाने की ज़िम्मेदारी किसकी है, और इसमें असल में कितना समय लगता है। जो संगठन इन चार सवालों का जवाब आधे घंटे में दे सकता है, वह इस सूचना को एक शाम के काम की तरह निपटा देता है। जो संगठन यह नहीं जानता कि उपकरण का प्रशासन कौन करता है, उसे शुरुआती रेखा तक पहुँचने में ही एक हफ़्ता लगता है, और वह पूरा हफ़्ता जोखिम में बीतता है।

राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) द्वारा जारी आवश्यक साइबर सुरक्षा नियंत्रण अपने कमज़ोरी प्रबंधन क्षेत्र में ठीक यही माँगते हैं: कमज़ोरियों का समय-समय पर आकलन और पता लगाना, गंभीरता के आधार पर वर्गीकरण, उसी वर्गीकरण और उससे जुड़े जोखिम के अनुसार सुधार, नई कमज़ोरियों की खबरों के लिए भरोसेमंद स्रोतों की सदस्यता, और ऐसा पैच प्रबंधन जो अपडेट लागू करने से पहले गैर-उत्पादन परिवेश में उनकी अखंडता और प्रभावशीलता की जाँच करे। जो नियंत्रण आमतौर पर विफल होता है वह पैच लगाना नहीं है। वह भरोसेमंद स्रोत है: जिस संगठन को विक्रेता की सूचना कभी मिलती ही नहीं, उसे इसकी जानकारी कुछ दिन बाद किसी समाचार लेख से मिलती है, या कभी नहीं मिलती।

Origami का नज़रिया

हम नेटवर्क हार्डवेयर बेचने के बजाय व्यावसायिक सिस्टम बनाते हैं, फिर भी हर इंटीग्रेशन प्रोजेक्ट में इसके परिणाम देखते हैं। जब भी हम किसी क्लाइंट के नेटवर्क से नया सिस्टम जोड़ते हैं, एक ही सवाल सामने आता है: यहाँ अनुमतियाँ कौन देता है, और वह फ़ैसला कहाँ दर्ज होता है। बार-बार यही देखने में आता है कि कमज़ोर हिस्सा शायद ही कभी नया एप्लिकेशन या उसकी सुरक्षा मज़बूती होती है। कमज़ोर हिस्सा वह परत होती है जिसे एप्लिकेशन सही मान लेता है और जिसकी कोई जाँच नहीं करता, क्योंकि वह पुरानी है और वर्षों से चुपचाप चल रही है।

इसलिए हम पहचान के रास्ते में आने वाले हर घटक को एप्लिकेशन के बगल की चीज़ नहीं, बल्कि एप्लिकेशन सुरक्षा का हिस्सा मानते हैं। उसे नाम, संस्करण और ज़िम्मेदार व्यक्ति के साथ संपत्ति सूची में दर्ज किया जाता है। उसे पहले से तय रखरखाव समय मिलता है, न कि सूचना आने वाले दिन जल्दबाज़ी में तय किया गया। और उसका प्रबंधन इंटरफ़ेस सामान्य नेटवर्क से पहुँच योग्य होने के बजाय एक अलग प्रशासनिक नेटवर्क तक सीमित रहता है। ये तीन तरीके हैं जिनके लिए किसी नए बजट की ज़रूरत नहीं, और यही उस व्यवसाय के बीच का अंतर हैं जो Cisco की सूचना पढ़कर जानता है कि क्या करना है, और उस व्यवसाय के बीच जो उसे पढ़कर सबसे पहले यह पूछता है कि उपकरण का पासवर्ड किसके पास है। यह हमारी सेवाओं में हमारे काम करने के तरीके का हिस्सा है।

इस हफ़्ते जवाब देने लायक पाँच सवाल

यह कोई पूरा सुरक्षा कार्यक्रम नहीं है। ये पाँच जवाब हैं जो अगली सूचना के लिए आपकी तैयारी दिखाते हैं, क्योंकि अगली सूचना ज़रूर आएगी।

  • अगर आप Cisco ISE या ISE-PIC चलाते हैं: आप किस रिलीज़ पर हैं, और क्या वह 3.1 से 3.5 के बीच है? अगर हाँ, तो सुधरे हुए रिलीज़ ऊपर दिए गए हैं, और यह तय कार्यक्रम वाला नहीं बल्कि तत्काल काम है। पैच लगने तक, सूचना में बताए अनुसार एक्सेस कंट्रोल लिस्ट से उपकरण तक पहुँच सीमित करें।
  • संपत्ति सूची: क्या आपके पास अपने द्वारा चलाए जाने वाले प्रमाणीकरण और पहुँच सिस्टमों की, उनके संस्करणों सहित, लिखित सूची है? अगर जवाब किसी एक व्यक्ति के दिमाग में है, तो वह सूची नहीं है।
  • सूचना स्रोत: आपके संगठन में आपके हर विक्रेता की सुरक्षा सूचनाओं की सदस्यता किसने ली है? यह सदस्यता मुफ़्त है और कुछ ही मिनट लेती है, और इसका न होना ही आमतौर पर देरी का कारण होता है, किसी टूल की कमी नहीं।
  • पैच लगने में लगा समय: आपको मिली पिछली गंभीर सूचना और पैच लागू होने के बीच कितने घंटे या दिन बीते? वह संख्या लिख लें। यही आपका असली पैमाना है, और यह किसी भी लिखित योजना से ज़्यादा ईमानदार है।
  • प्रबंधन इंटरफ़ेस: क्या आपके अहम उपकरणों के एडमिन कंसोल नेटवर्क में कहीं से भी पहुँच योग्य हैं, या केवल एक तय प्रबंधन नेटवर्क से? पहुँच सीमित करने से कमज़ोरी खत्म नहीं होती, लेकिन यह संभावित रूप से पूरे इंटरनेट से होने वाले हमले को ऐसे हमले में बदल देता है जिसके लिए पहले भीतर पैर जमाना ज़रूरी हो।

व्यावहारिक निष्कर्ष सीमित है। कमज़ोरियाँ कोई असाधारण दुर्घटना नहीं हैं जो आपके व्यवसाय पर घात लगाए बैठी हों; वे बार-बार होने वाली घटना हैं जिसका आप पहले से अभ्यास कर सकते हैं। जो संगठन टिका रहता है और जो रुक जाता है, उनके बीच का अंतर खामी का न होना नहीं है, बल्कि सुधार जारी होने और उसे लागू करने के बीच बीतने वाले घंटे हैं।

स्रोत