2026年9月16日，Cisco 发布了关于 CVE-2026-76460 的安全公告，该漏洞影响 Identity Services Engine 和 ISE Passive Identity Connector。CVSS 基础评分为 10.0 分，是该评分体系给出的最高分。原因是某个 API 端点的身份验证控制不足，后果是未经身份验证的远程攻击者只需发送一个精心构造的请求，就能访问管理界面。Cisco 明确表示，其 PSIRT 已知晓该漏洞正被积极利用，并且没有可用的临时解决方法。

技术名称对企业主来说意义不大，但其运营层面的含义却至关重要：受影响的设备不是文件服务器，也不是网络打印机。它是网络其他部分用来询问每个连接者身份的那台设备。它决定这台笔记本电脑属于获得授权的员工，这部手机属于应接入访客网络的访客，这家供应商只能访问一个系统。当做出这一决策的权威失守时，你失去的不是一项服务，而是所有服务赖以存在的基础。

我们真正知道的事实

以下事实来自 Cisco 自己的公告以及 CISA 的 Known Exploited Vulnerabilities（已知被利用漏洞）目录，而非媒体报道：

  • 受影响产品：Cisco Identity Services Engine 和 ISE Passive Identity Connector，版本 3.1 至 3.5。
  • 修复版本：3.1 Patch 12、3.2 Patch 11、3.3 Patch 12、3.4 Patch 7 和 3.5 Patch 4。
  • 利用前提：无。远程、未经身份验证的攻击者，向 API 端点发送一个精心构造的请求，无需账户，无需密码。
  • 状态：据 Cisco PSIRT 称正被积极利用，并于 2026年9月16日被列入 Known Exploited Vulnerabilities 目录，美国联邦机构的修复截止日期为 2026年9月19日。
  • 临时解决方法：无。Cisco 提到的唯一缓解措施是在安装补丁之前，使用基础设施访问控制列表限制对该设备的访问。

这份清单中有三个词值得停下来想一想：远程、无需身份验证、没有临时解决方法。任何缺少其中一项的漏洞都会给你留出喘息的空间。而这个漏洞除了打补丁或隔离之外，什么余地都没留给你。

为什么身份设备比你运行的任何其他服务器都更危险

在企业网络中，各个系统被攻破后的后果并不相同。报表服务器被攻破，你失去的是报表。管理身份和访问的设备被攻破，你失去的就不是一台设备，而是整个网络中"权限"一词的意义。

任何获得此类系统管理控制权的人，原则上都可以修改策略本身——直接生成一个获得授权的身份，而不是设法绕过某项控制。这就是本质区别。攻击不再是在日志中看起来异常的入侵，而变成了一次看起来完全合法的进入，因为它走的正是你所信任的那扇门。这是最难检测的情况，因为监控建立在这样一个假设之上：凡是身份系统批准的，按定义就是被批准的。

再加上这些设备所处的位置。它们位于网络中心，连接每一个网段，因为其工作需要如此。因此，在这台设备上取得立足点，就等于在一条通往其后一切的开放道路上取得了立足点。这就是为什么身份、访问和认证系统应当列在关键资产清单的最顶端，而不是放在一般网络设备清单中。我们曾在关于无人绘制的单点故障的文章中，从另一个角度讨论过同样的逻辑。

教训与 Cisco 无关

人们很容易把这件事当成某家厂商某个产品的新闻。这种解读让人安心，却毫无用处。Cisco 发布了修复程序，并清楚说明了利用状况，这正是一家成熟厂商应该做的。每家厂商的安全设备都存在漏洞，因为它们都是软件，类似的公告还会接踵而来。

需要带走的问题不是你是否在用 Cisco，而是你是否知道哪些设备和系统在为你的网络用户做身份验证、它们运行的是什么版本、谁负责给它们打补丁，以及这实际需要多长时间。能在半小时内回答这四个问题的组织，处理这份公告只是一个晚上的工作。不知道谁在管理这台设备的组织，光是走到起跑线就需要一周，而这一整周都是暴露期。

这正是国家网络安全局（NCA）发布的《基本网络安全控制措施》在其漏洞管理领域所要求的：定期评估和检测漏洞，按严重性分类，根据该分类及相关风险进行修复，订阅可信来源以获取新漏洞的消息，以及在安装更新前于非生产环境中验证其完整性和有效性的补丁管理。通常失效的控制并不是打补丁本身，而是可信来源：从未收到厂商公告的组织，要在几天后从新闻报道中才得知，或者根本无从得知。

Origami 的观点

我们构建业务系统，而不是销售网络硬件，但我们仍然在每个集成项目中看到这一问题的后果。每当我们把一个新系统接入客户网络时，都会出现同样的问题：这里由谁授予权限，这一决策记录在哪里。反复出现的观察是，脆弱之处很少是新应用或其安全加固，而是应用默认正确、却无人检查的那一层，因为它很旧，已经安静地运行了好几年。

因此，我们把身份路径上的任何组件都视为应用安全的一部分，而不是与之相邻的东西。它会连同名称、版本和负责人一起记录在资产清单中。它有一个事先约定的维护窗口，而不是在公告到来的当天临时安排。它的管理界面仅限于一个独立的管理网络，而不是从普通网络即可访问。这三项做法不需要新增预算，却决定了一家企业读到 Cisco 的公告后是知道该做什么，还是先要问谁有这台设备的密码。这也是我们在各项服务中的工作方式之一。

本周需要回答的五个问题

这不是一套完整的安全计划，而是五个答案，它们能揭示你对下一份公告的准备程度，因为下一份公告一定会来。

  • 如果你在使用 Cisco ISE 或 ISE-PIC：你用的是哪个版本，是否在 3.1 至 3.5 之间？如果是，修复版本已在上文列出，这是紧急工作，而不是排期工作。在安装补丁之前，请按照公告所述，使用访问控制列表限制对设备的访问。
  • 资产清单：你是否有一份书面清单，列出你运行的身份验证和访问系统及其版本？如果答案只存在于某一个人的脑子里，那就不算清单。
  • 公告来源：你的组织中由谁订阅了你所使用的每家厂商的安全公告？这种订阅是免费的，只需几分钟，而缺少订阅往往才是延误的原因，而不是缺少工具。
  • 打补丁所需时间：从你收到的上一份关键公告到补丁安装完成，中间过去了多少小时或多少天？把这个数字写下来。这才是你真实的指标，比任何书面计划都更诚实。
  • 管理界面：你的关键设备的管理控制台是能从网络中任何位置访问，还是只能从指定的管理网络访问？限制访问并不能消除漏洞，但它能把一个可能来自整个互联网的攻击，变成一个必须先在内部取得立足点的攻击。

实际结论很明确。漏洞不是突然伏击你企业的意外事故，而是一个可以提前演练的反复发生的事件。区分能够挺住的组织和陷入停摆的组织的，并不是有没有漏洞，而是从修复发布到修复安装之间所经过的小时数。

资料来源