Cisco Peringatkan Zero-Day ISE CVE-2026-76460 yang Aktif Dieksploitasi

Cisco memperingatkan pelanggan mengenai kerentanan zero-day dengan tingkat keparahan maksimum pada Cisco Identity Services Engine (ISE) yang saat ini telah dieksploitasi secara aktif dalam serangan di dunia nyata.

Kerentanan yang tercatat sebagai CVE-2026-76460 memiliki skor CVSS 10.0 dan memungkinkan penyerang jarak jauh yang tidak terautentikasi melewati mekanisme autentikasi pada API tertentu. Cisco telah merilis pembaruan keamanan untuk mengatasi celah tersebut dan menyatakan bahwa tidak tersedia workaround untuk mengurangi risikonya.

CVE-2026-76460 Memungkinkan Authentication Bypass

Cisco Identity Services Engine merupakan platform terpusat yang digunakan administrator untuk mengelola endpoint, pengguna, serta akses perangkat terhadap sumber daya jaringan. ISE juga banyak digunakan dalam implementasi kontrol akses jaringan dan arsitektur Zero Trust.

Masalah pada CVE-2026-76460 berada pada mekanisme kontrol autentikasi sebuah API endpoint. Menurut Cisco, penyerang dapat mengirimkan request yang telah dibuat secara khusus ke endpoint yang terdampak tanpa harus memiliki kredensial yang sah.

Jika eksploitasi berhasil, penyerang dapat memperoleh akses tidak sah ke perangkat dengan melewati antarmuka manajemen berbasis web. Kerentanan ini memengaruhi Cisco ISE dan Cisco ISE Passive Identity Connector (ISE-PIC) terlepas dari konfigurasi perangkat.

Dengan skor CVSS 10.0, kerentanan ini berada pada tingkat tertinggi dalam sistem penilaian CVSS. Risiko menjadi lebih serius karena Cisco PSIRT telah mengonfirmasi adanya eksploitasi aktif.

Cisco Konfirmasi Eksploitasi di Dunia Nyata

Cisco mengungkapkan bahwa Product Security Incident Response Team (PSIRT) mengetahui adanya active exploitation terhadap CVE-2026-76460.

Cisco meminta administrator segera melakukan upgrade ke versi perangkat lunak yang telah diperbaiki. Karena tidak ada workaround yang dapat digunakan untuk menutup celah tersebut, pembaruan software menjadi langkah utama untuk mengatasi kerentanan ini.

Kerentanan tersebut diketahui Cisco setelah ditemukan dalam proses penyelesaian sebuah kasus yang ditangani oleh Cisco Technical Assistance Center (TAC).

Versi Cisco ISE yang Sudah Mendapat Perbaikan

Cisco telah menyediakan versi patch yang memperbaiki CVE-2026-76460. Administrator perlu memastikan versi ISE yang digunakan sudah berada pada patch yang sesuai.

Cisco juga mencatat bahwa ISE 3.0 telah mencapai End of Software Maintenance. Pengguna versi tersebut disarankan bermigrasi ke versi yang masih didukung dan telah memperoleh perbaikan keamanan.

Administrator Diminta Memeriksa Indikator Kompromi

Selain melakukan upgrade, organisasi yang menjalankan Cisco ISE juga perlu melakukan pemeriksaan terhadap kemungkinan kompromi yang sudah terjadi sebelum patch diterapkan.

Cisco menyediakan indikator kompromi dan menyarankan tim keamanan memeriksa file access.log pada setiap node untuk mencari aktivitas atau username yang mencurigakan.

Pemeriksaan tidak sebaiknya hanya dilakukan pada sistem ISE. Administrator juga perlu meninjau firewall dan network log untuk menemukan aktivitas yang tidak biasa, termasuk koneksi, upload, atau download antara perangkat ISE dan alamat IP eksternal yang mencurigakan.

Hal ini penting karena eksploitasi yang berhasil dapat memberikan penyerang akses tingkat tinggi. Cisco memperingatkan bahwa setelah memperoleh kemampuan menjalankan perintah dengan hak root, pelaku dapat berusaha menghapus jejak aktivitas sebelumnya.

Jika terdapat indikasi bahwa sebuah node telah dikompromikan, Cisco merekomendasikan re-image node tersebut dan melakukan pemulihan dari backup. Langkah ini membantu mengurangi risiko bahwa komponen berbahaya yang telah ditanam penyerang masih tertinggal setelah proses patching.

Cisco Juga Menambal Sejumlah Celah ISE Lain

CVE-2026-76460 bukan satu-satunya masalah keamanan yang ditangani Cisco pada September 2026. Cisco menerbitkan sejumlah advisory keamanan untuk ISE dan ISE-PIC sebagai bagian dari security hardening release.

Beberapa kerentanan lainnya mencakup authentication bypass, command injection, path traversal, SQL injection, serta kelemahan lain pada antarmuka dan komponen ISE. Cisco menyediakan patch untuk berbagai versi yang masih didukung.

Namun, Cisco membedakan CVE-2026-76460 dari sebagian besar kerentanan tersebut karena PSIRT secara khusus telah mengonfirmasi bahwa CVE-2026-76460 sedang dieksploitasi secara aktif.

CISA Masukkan CVE-2026-76460 ke KEV Catalog

Risiko kerentanan ini juga tercermin dari tindakan Cybersecurity and Infrastructure Security Agency (CISA) yang memasukkan CVE-2026-76460 ke dalam Known Exploited Vulnerabilities (KEV) Catalog pada 16 September 2026.

Masuknya sebuah kerentanan ke dalam katalog KEV menunjukkan bahwa celah tersebut telah memiliki bukti eksploitasi di dunia nyata dan menjadi perhatian khusus bagi organisasi yang mengelola infrastruktur pemerintah maupun jaringan perusahaan.

Untuk organisasi yang mengoperasikan Cisco ISE, status tersebut menjadi alasan tambahan untuk mempercepat proses inventarisasi, pemeriksaan log, patching, dan validasi keamanan terhadap seluruh node yang terdampak.

Cisco ISE Kembali Menjadi Target Zero-Day

CVE-2026-76460 juga bukan kasus pertama ketika Cisco ISE menjadi sasaran eksploitasi zero-day.

Pada Juli 2025, pelaku serangan mengeksploitasi kerentanan Cisco ISE lainnya, yaitu CVE-2025-20337, dalam serangan remote code execution. Eksploitasi tersebut digunakan untuk memasang web shell khusus bernama IdentityAuditAction yang disamarkan sebagai komponen ISE yang sah.

Rangkaian insiden tersebut menunjukkan bahwa perangkat dan platform yang berada pada posisi strategis dalam infrastruktur autentikasi serta kontrol akses jaringan dapat menjadi target bernilai tinggi bagi penyerang.

Bagi administrator Cisco ISE, prioritas saat ini adalah memastikan seluruh node menggunakan versi yang telah diperbaiki, memeriksa log untuk mengetahui kemungkinan eksploitasi sebelumnya, serta melakukan investigasi lebih lanjut apabila ditemukan aktivitas mencurigakan.

Sumber: Cisco