Pada 16 September 2026 Cisco menerbitkan makluman keselamatan bagi CVE-2026-76460, yang menjejaskan Identity Services Engine dan ISE Passive Identity Connector. Skor asas CVSS ialah 10.0, nilai maksimum yang diberikan oleh skala tersebut. Puncanya ialah kawalan pengesahan yang tidak mencukupi pada satu titik akhir API, dan kesannya ialah penyerang jarak jauh yang tidak disahkan boleh mencapai antara muka pengurusan dengan menghantar permintaan yang direka khas. Cisco menyatakan dengan terus terang bahawa PSIRT miliknya sedar akan eksploitasi aktif, dan tiada penyelesaian sementara yang tersedia.

Nama teknikal itu tidak banyak bermakna kepada pemilik perniagaan. Makna operasinya pula membawa segala-galanya: peranti yang terjejas bukan pelayan fail atau pencetak rangkaian. Ia ialah peranti yang ditanya oleh seluruh rangkaian tentang identiti setiap orang yang cuba menyambung. Ia menentukan bahawa komputer riba ini milik pekerja yang diberi kuasa, bahawa telefon ini milik pelawat yang sepatutnya berada dalam rangkaian tetamu, dan bahawa pembekal ini hanya mencapai tepat satu sistem. Apabila pihak berkuasa yang membuat keputusan itu tumbang, anda tidak kehilangan satu perkhidmatan. Anda kehilangan asas yang menjadi tempat berdirinya setiap perkhidmatan.

Apa yang sebenarnya kita tahu

Fakta-fakta ini datang daripada makluman Cisco sendiri dan daripada katalog Known Exploited Vulnerabilities (kelemahan yang diketahui telah dieksploitasi) oleh CISA, bukan daripada laporan akhbar:

  • Produk terjejas: Cisco Identity Services Engine dan ISE Passive Identity Connector, keluaran 3.1 hingga 3.5.
  • Keluaran yang telah dibaiki: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 dan 3.5 Patch 4.
  • Prasyarat eksploitasi: tiada. Penyerang jarak jauh yang tidak disahkan, satu permintaan yang direka khas ke titik akhir API, tanpa akaun dan tanpa kata laluan.
  • Status: dieksploitasi secara aktif menurut Cisco PSIRT, dan ditambah ke katalog Known Exploited Vulnerabilities pada 16 September 2026 dengan tarikh akhir pemulihan 19 September 2026 bagi agensi persekutuan Amerika Syarikat.
  • Penyelesaian sementara: tiada. Satu-satunya langkah mitigasi yang disebut oleh Cisco ialah menyekat akses kepada peranti menggunakan senarai kawalan akses infrastruktur sehingga tampalan dipasang.

Tiga frasa dalam senarai itu wajar diberi perhatian: jarak jauh, tanpa pengesahan, dan tiada penyelesaian sementara. Mana-mana kelemahan yang tidak mempunyai salah satu daripadanya masih memberi anda ruang untuk bernafas. Kelemahan ini tidak memberi apa-apa kecuali menampal atau mengasingkan.

Mengapa peranti identiti lebih buruk daripada mana-mana pelayan lain yang anda kendalikan

Dalam rangkaian korporat, sistem tidak sama dari segi akibat apabila dikompromi. Jika pelayan laporan dikompromi, anda kehilangan laporan. Jika peranti yang mengawal identiti dan akses dikompromi, anda bukan kehilangan satu peranti. Anda kehilangan makna perkataan kebenaran di seluruh rangkaian.

Sesiapa yang memperoleh kawalan pentadbiran ke atas sistem sedemikian pada dasarnya boleh mengubah dasar itu sendiri — mencipta identiti yang diberi kuasa dan bukannya cuba mengatasi sesuatu kawalan. Itulah perbezaan asasnya. Serangan tidak lagi menjadi pencerobohan yang kelihatan luar biasa dalam log, sebaliknya menjadi kemasukan yang kelihatan sah sepenuhnya, kerana ia datang melalui pintu yang sama yang anda percayai. Inilah kes yang paling sukar dikesan, kerana pemantauan dibina atas andaian bahawa apa sahaja yang diluluskan oleh sistem identiti, secara takrifnya, telah diluluskan.

Tambahkan pula lokasi peranti ini. Ia berada di tengah-tengah rangkaian dan bersambung ke setiap segmen, kerana tugasnya memerlukan demikian. Jadi, tapak berpijak pada peranti ini ialah tapak berpijak pada jalan terbuka menuju segala-galanya di belakangnya. Itulah sebabnya sistem identiti, akses dan pengesahan wajar berada di kedudukan teratas senarai aset kritikal, bukan dalam inventori umum peralatan rangkaian. Kami telah membincangkan logik yang sama dari sudut berbeza dalam tulisan kami tentang titik kegagalan tunggal yang tidak dipetakan oleh sesiapa.

Pengajarannya bukan tentang Cisco

Mudah untuk membaca ini sebagai berita tentang satu produk daripada satu pembekal. Bacaan itu selesa tetapi tidak berguna. Cisco telah mengeluarkan pembaikan dan menyatakan status eksploitasi dengan jelas, iaitu apa yang sepatutnya dilakukan oleh pembekal yang matang. Peranti keselamatan daripada setiap pembekal mengandungi kelemahan kerana ia adalah perisian, dan makluman yang serupa akan menyusul.

Soalan yang perlu dibawa pulang bukanlah sama ada anda menggunakan Cisco. Soalannya ialah sama ada anda tahu peranti dan sistem mana yang mengesahkan pengguna rangkaian anda, versi apa yang digunakan, siapa yang bertanggungjawab menampalnya, dan berapa lama sebenarnya proses itu. Organisasi yang boleh menjawab keempat-empat soalan itu dalam masa setengah jam akan mengendalikan makluman ini sebagai tugasan satu petang. Organisasi yang tidak tahu siapa yang mentadbir peranti itu memerlukan seminggu hanya untuk sampai ke garisan permulaan, dan sepanjang minggu itu adalah tempoh pendedahan.

Inilah tepat yang diminta oleh Kawalan Keselamatan Siber Penting yang dikeluarkan oleh Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) dalam domain pengurusan kelemahannya: penilaian dan pengesanan kelemahan secara berkala, klasifikasi mengikut tahap keterukan, pemulihan berdasarkan klasifikasi tersebut dan risiko berkaitan, langganan kepada sumber yang dipercayai untuk berita tentang kelemahan baharu, dan pengurusan tampalan yang mengesahkan integriti serta keberkesanan kemas kini dalam persekitaran bukan pengeluaran sebelum memasangnya. Kawalan yang biasanya gagal bukanlah penampalan itu sendiri. Ia ialah sumber yang dipercayai: organisasi yang tidak pernah menerima makluman pembekal akan mengetahuinya daripada artikel berita beberapa hari kemudian, atau tidak pernah tahu langsung.

Pandangan Origami

Kami membina sistem perniagaan dan bukannya menjual perkakasan rangkaian, namun kami tetap melihat akibat perkara ini dalam setiap projek integrasi. Setiap kali kami menyambungkan sistem baharu ke rangkaian pelanggan, soalan yang sama timbul: siapa yang memberikan kebenaran di sini, dan di manakah keputusan itu direkodkan. Pemerhatian yang berulang ialah bahagian yang rapuh jarang sekali aplikasi baharu atau pengukuhannya. Ia ialah lapisan yang dianggap betul oleh aplikasi dan tidak diperiksa oleh sesiapa, kerana ia sudah lama dan telah berjalan dengan senyap selama bertahun-tahun.

Oleh itu, kami menganggap mana-mana komponen dalam laluan identiti sebagai sebahagian daripada keselamatan aplikasi dan bukannya sesuatu di sebelahnya. Ia direkodkan dalam senarai aset bersama nama, versi dan pemiliknya. Ia diberi tetingkap penyelenggaraan yang dipersetujui lebih awal, bukannya yang diatur secara tergesa-gesa pada hari makluman tiba. Dan antara muka pengurusannya dihadkan kepada rangkaian pentadbiran yang berasingan dan bukannya boleh dicapai dari rangkaian umum. Ini ialah tiga amalan yang tidak memerlukan bajet baharu, dan inilah perbezaan antara perniagaan yang membaca makluman Cisco dan tahu apa yang perlu dilakukan, dengan perniagaan yang membacanya lalu bermula dengan bertanya siapa yang memegang kata laluan peranti itu. Ia sebahagian daripada cara kami bekerja dalam perkhidmatan kami.

Lima soalan untuk dijawab minggu ini

Ini bukan program keselamatan yang lengkap. Ini ialah lima jawapan yang mendedahkan tahap kesediaan anda untuk makluman seterusnya, kerana pasti akan ada makluman seterusnya.

  • Jika anda menggunakan Cisco ISE atau ISE-PIC: keluaran apa yang anda gunakan, dan adakah ia dalam lingkungan 3.1 hingga 3.5? Jika ya, keluaran yang telah dibaiki disenaraikan di atas, dan ini ialah kerja segera, bukan kerja berjadual. Sehingga tampalan dipasang, sekat akses kepada peranti menggunakan senarai kawalan akses seperti yang diterangkan dalam makluman.
  • Senarai aset: adakah anda mempunyai senarai bertulis sistem pengesahan dan akses yang anda kendalikan, berserta versinya? Jika jawapannya hanya ada dalam kepala seorang individu, itu bukan senarai.
  • Sumber makluman: siapa dalam organisasi anda yang melanggan makluman keselamatan daripada setiap pembekal yang anda gunakan? Langganan itu percuma dan hanya mengambil masa beberapa minit, dan ketiadaannya biasanya menjadi punca kelewatan, bukannya kekurangan alatan.
  • Masa sehingga ditampal: berapa jam atau hari berlalu antara makluman kritikal terakhir yang anda terima dengan pemasangan tampalan? Catat angka itu. Itulah metrik sebenar anda, dan ia lebih jujur daripada mana-mana pelan bertulis.
  • Antara muka pengurusan: adakah konsol pentadbiran peranti kritikal anda boleh dicapai dari mana-mana sahaja dalam rangkaian, atau hanya dari rangkaian pengurusan yang ditetapkan? Menyekat akses tidak menghapuskan kelemahan, tetapi ia mengubah serangan yang berpotensi datang dari seluruh internet kepada serangan yang terlebih dahulu memerlukan tapak berpijak dalaman.

Kesimpulan praktikalnya sempit. Kelemahan bukanlah kemalangan luar biasa yang menyerang hendap perniagaan anda; ia ialah peristiwa berulang yang boleh anda latih untuk hadapi. Apa yang membezakan organisasi yang bertahan daripada organisasi yang terhenti bukanlah ketiadaan kelemahan, tetapi jam yang berlalu antara pembaikan diterbitkan dengan pembaikan dipasang.

Sumber