16 сентября 2026 года Cisco опубликовала уведомление о безопасности по CVE-2026-76460, затрагивающей Identity Services Engine и ISE Passive Identity Connector. Базовая оценка CVSS — 10.0, максимум, который присваивает шкала. Причина — недостаточные механизмы аутентификации на одной из конечных точек API, а следствие — неаутентифицированный удалённый злоумышленник может добраться до интерфейса управления, отправив специально сформированный запрос. Cisco прямо заявляет, что её PSIRT известно об активной эксплуатации и что обходных решений нет.

Техническое название мало что говорит владельцу бизнеса. Практический смысл говорит всё: затронутое устройство — не файловый сервер и не сетевой принтер. Это устройство, у которого остальная сеть спрашивает, кто пытается подключиться. Оно решает, что этот ноутбук принадлежит авторизованному сотруднику, что этот телефон — гостя, которому место в гостевой сети, и что этот поставщик получает доступ ровно к одной системе. Когда падает инстанция, принимающая это решение, вы теряете не одну службу. Вы теряете фундамент, на котором стоят все службы.

Что мы знаем на самом деле

Эти факты взяты из уведомления самой Cisco и из каталога Known Exploited Vulnerabilities (известных эксплуатируемых уязвимостей) CISA, а не из публикаций в прессе:

  • Затронутые продукты: Cisco Identity Services Engine и ISE Passive Identity Connector, выпуски с 3.1 по 3.5.
  • Исправленные выпуски: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4.
  • Условие эксплуатации: никакого. Удалённый неаутентифицированный злоумышленник, один специально сформированный запрос к конечной точке API, без учётной записи и без пароля.
  • Статус: по данным Cisco PSIRT, активно эксплуатируется; добавлена в каталог Known Exploited Vulnerabilities 16 сентября 2026 года со сроком устранения 19 сентября 2026 года для федеральных ведомств США.
  • Обходное решение: отсутствует. Единственная мера смягчения, которую упоминает Cisco, — ограничить доступ к устройству с помощью списков контроля доступа инфраструктуры до установки патча.

Три выражения из этого списка заслуживают паузы: удалённо, без аутентификации и без обходного решения. Любая уязвимость, у которой нет хотя бы одного из этих признаков, оставляет вам пространство для манёвра. Эта не оставляет ничего, кроме патча или изоляции.

Почему устройства идентификации опаснее любого другого вашего сервера

В корпоративной сети системы неравны по последствиям их компрометации. Скомпрометирован сервер отчётности — вы теряете отчёты. Скомпрометировано устройство, управляющее идентификацией и доступом, — вы потеряли не устройство. Вы потеряли смысл слова «разрешение» во всей сети.

Тот, кто получает административный контроль над такой системой, в принципе может менять сами политики — выпустить себе авторизованную идентичность вместо того, чтобы пытаться обойти меру контроля. В этом принципиальная разница. Атака перестаёт быть вторжением, которое выглядит аномально в журналах, и становится входом, который выглядит полностью легитимным, потому что пришёл через те же ворота, которым вы доверяете. Это самый трудный для обнаружения случай, потому что мониторинг строится на предположении, что всё одобренное системой идентификации одобрено по определению.

Добавьте к этому, где стоят такие устройства. Они находятся в центре сети и подключены ко всем сегментам, потому что этого требует их работа. Значит, плацдарм на устройстве — это плацдарм на открытой дороге ко всему, что за ним. Поэтому системам идентификации, доступа и аутентификации место на вершине списка критически важных активов, а не в общем перечне сетевого оборудования. Ту же логику под другим углом мы разбирали в материале о единой точке отказа, которую никто не наносит на карту.

Урок не о Cisco

Это легко прочитать как новость об одном продукте одного производителя. Такое прочтение удобно и бесполезно. Cisco выпустила исправление и чётко указала статус эксплуатации — именно так и должен поступать зрелый производитель. Устройства безопасности любых производителей содержат уязвимости, потому что это программное обеспечение, и подобные уведомления ещё будут.

Вопрос, который стоит вынести, — не в том, используете ли вы Cisco. А в том, знаете ли вы, какие устройства и системы аутентифицируют пользователей вашей сети, на каких они версиях, кто отвечает за их обновление и сколько это занимает на самом деле. Организация, способная ответить на эти четыре вопроса за полчаса, справится с этим уведомлением как с задачей на один вечер. Организации, которая не знает, кто администрирует устройство, нужна неделя, чтобы дойти до стартовой линии, и вся эта неделя — время уязвимости.

Именно этого требуют Основные меры контроля кибербезопасности, изданные Национальным управлением кибербезопасности (NCA), в разделе управления уязвимостями: периодическая оценка и выявление уязвимостей, классификация по степени критичности, устранение в соответствии с этой классификацией и связанным риском, подписка на доверенные источники сведений о новых уязвимостях и управление патчами с проверкой целостности и эффективности обновлений в непроизводственной среде перед установкой. Обычно подводит не сама установка патчей. Подводит доверенный источник: организация, которая никогда не получает уведомление производителя, узнаёт о нём из новостной статьи через несколько дней или не узнаёт вовсе.

Взгляд Origami

Мы создаём бизнес-системы, а не продаём сетевое оборудование, и всё же видим последствия этого в каждом интеграционном проекте. Каждый раз, когда мы подключаем новую систему к сети клиента, возникает один и тот же вопрос: кто здесь выдаёт права и где фиксируется это решение. Повторяющееся наблюдение таково: хрупкая часть редко оказывается новым приложением или его усилением защиты. Это слой, который приложение считает корректным и который никто не проверяет, потому что он старый и годами тихо работает.

Поэтому любой компонент на пути идентификации мы рассматриваем как часть безопасности приложения, а не как нечто рядом с ней. Он вносится в перечень активов с названием, версией и ответственным. Для него заранее согласуется окно обслуживания, а не импровизируется в день прихода уведомления. А его интерфейс управления ограничивается отдельной сетью администрирования, а не доступен из общей сети. Это три практики, не требующие нового бюджета, и именно они отличают компанию, которая читает уведомление Cisco и знает, что делать, от той, что читает его и начинает с вопроса, у кого пароль от устройства. Это часть того, как мы работаем во всех наших услугах.

Пять вопросов, на которые нужно ответить на этой неделе

Это не полноценная программа безопасности. Это пять ответов, которые покажут, насколько вы готовы к следующему уведомлению, потому что следующее уведомление будет.

  • Если вы используете Cisco ISE или ISE-PIC: на каком вы выпуске и входит ли он в диапазон от 3.1 до 3.5? Если да, исправленные выпуски перечислены выше, и это срочная, а не плановая работа. До установки патча ограничьте доступ к устройству списками контроля доступа, как описано в уведомлении.
  • Перечень активов: есть ли у вас письменный перечень используемых систем аутентификации и доступа с их версиями? Если ответ хранится в голове одного человека, это не перечень.
  • Источник уведомлений: кто в вашей организации подписан на уведомления о безопасности каждого используемого производителя? Подписка бесплатна и занимает минуты, а её отсутствие обычно и есть причина задержки, а не нехватка инструментов.
  • Время до патча: сколько часов или дней прошло между последним полученным критическим уведомлением и установкой патча? Запишите это число. Это ваш реальный показатель, и он честнее любого письменного плана.
  • Интерфейсы управления: доступны ли консоли администрирования ваших критически важных устройств из любой точки сети или только из выделенной сети управления? Ограничение доступа не устраняет уязвимость, но превращает атаку, потенциально возможную из всего интернета, в атаку, которой сначала нужен плацдарм внутри.

Практический вывод узок. Уязвимости — не исключительная случайность, подстерегающая ваш бизнес; это повторяющееся событие, к которому можно готовиться заранее. Организацию, которая выстоит, от той, что остановится, отличает не отсутствие уязвимости, а часы между публикацией исправления и его установкой.

Источники