Cisco ISEに認証バイパスのゼロデイ（CVE-2026-76460、CVSS 10.0）が発覚——アイデンティティ制御面の“単一障害点”を突く攻撃です

今日の深掘りポイント

• ISEという“アイデンティティ制御プレーン”のゼロデイは、単体機器の侵害ではなく、社内ネットワーク全体の許可・拒否ロジックを乗っ取られる構造的リスクに直結します。
• 認証バイパス×APIという組み合わせは、アカウント作成やポリシー改変など「無音の永続化」を許し、検知が遅れやすいです。
• 既に悪用が確認される状況では、パッチ適用の前後で「管理APIの遮断」「管理面のセグメンテーション強化」を優先し、ローリングアップグレード計画を同時並行で進めるのが現実解です。
• ISEが連携するpxGrid/ERS、サードパーティNAC連携、RADIUS共有鍵、証明書連携など“信頼の伝播経路”を棚卸しし、侵害時の鍵・証明書・共有鍵ローテーション手順を即日で準備する必要があります。
• 指標全体からは「即応性・行動可能性・信頼性が高い」事象と読め、SOCは“ゼロトラストの土台”に対する攻撃として最優先インシデントに位置づけるべきです。

はじめに

Cisco Identity Services Engine（ISE）に、認証されていないリモート攻撃者がAPIを通じて認証をバイパスできるゼロデイ脆弱性（CVE-2026-76460、CVSS 10.0）が公表され、すでに悪用が観測されています。ISEはネットワーク接続の可否やポリシー適用を司る中枢であり、ここを素通りされると横移動や権限昇格へ極めて短時間でつながります。今回の事案は「1台の機器の不具合」ではなく、「組織の信頼モデルそのものの迂回」を意味するため、対応は“アイデンティティ制御プレーンの防衛”という視点で設計する必要があります。

本稿では、確認されている事実とその意味合いを切り分け、SOC運用と経営意思決定の双方に役立つ実務的なアクション指針を提示します。なお、本文の一部は公開情報からの一般化と仮説を含みますが、その旨を明記して整理します。

深掘り詳細

事実関係（確認できる点）

• Cisco ISEにおいて、特定のAPIエンドポイントに対する特別に作成されたリクエストにより、認証をバイパスできる脆弱性が報告されています。識別子はCVE-2026-76460、CVSSは最大の10.0です。
• このゼロデイは実際に悪用が確認されており、Ciscoは修正されたソフトウェアリリースへの速やかなアップグレードを強く推奨しています。
• 攻撃は認証を迂回して不正アクセスを得る性質であり、API経由の操作権限を奪取されると、管理面やポリシー面に対する改変が可能になるおそれがあります。
• 二次情報ですが、報道では顧客に対しログの確認と疑わしい振る舞い監視の強化が促されています。

出典:

• The Hacker Newsの速報記事にて、当該ゼロデイと緊急アップグレード推奨が報じられています（ゼロデイ／CVSS 10.0／API認証バイパス／悪用確認）The Hacker Newsです。

注記:

• 公式アドバイザリやCVEレコードの詳細は公開タイミングにより内容が更新される可能性があるため、最新の一次情報を都度確認することを推奨します。

インサイトと示唆（編集部の観点）

• ゼロトラストの“検問所”が狙われた意味: ISEは、エンドポイントの姿勢・アイデンティティ・コンテキストに基づき、社内ネットワークの可否や権限を決める制御プレーンです。ここをバイパスされると、ファイアウォールやEDRの個別防御をすり抜けた形で“正規扱い”のトラフィックやアカウントが生まれ、検知が困難になります。対策は個別機器のパッチにとどまらず、「信頼をどのレイヤで重ねるか」という設計論に波及します。
• API経由の“無音の永続化”という難しさ: 認証バイパスがAPIで成立する場合、攻撃者はGUIに痕跡を残さずにポリシーやアカウント、接続先、グループタグ（SGT）などを静かに変更できる可能性があります。監視の焦点は「接続試行の失敗やDoS」ではなく、「正規ワークフローを装った構成変更と連携系の異常」に置くべきです。
• 指標の読み解き（総合判断）: 即応性・行動可能性・信頼性が高く、ポジティブ要素が少ない事案と評価できます。SOCは“今すぐ動くべき”カテゴリに位置づけ、Change Freeze期間であっても例外を設ける判断を経営層とすり合わせる価値が高いです。
• 攻撃面の現実感: ISEの管理面が外部ネットワークから到達可能な設計の環境は少なくないのが実情です。加えて、MSP/ベンダー接続や拠点間の管理VLAN経路が“外部からの踏み台”になることもあります。露出の小さなミスが、今回は全社影響に直結します。

脅威シナリオと影響

以下はMITRE ATT&CKに沿って編集部が構成した仮説シナリオです。具体的なTIDは一般的なAPI悪用と管理面侵害に紐づく代表例であり、実際の侵害チェーンは環境により異なります。

• シナリオA：外部からISE管理APIへ直接到達できる環境

  • 偵察・武器化
    • インターネット上での管理ポート/APIエンドポイント探索（T1595: Active Scanning）です。
    • 使い捨てインフラの準備（T1583: Acquire Infrastructure）です。
  • 初期侵入
    • 公開アプリケーションの脆弱性悪用による侵入（T1190: Exploit Public-Facing Application）です。
  • 権限確立・永続化
    • 管理アカウントやAPIクレデンシャルの新規作成・付与（T1098: Account Manipulation）です。
    • 認証・承認フローの改変（例: ポリシーの緩和）（T1562: Impair Defensesの範疇で設定弱体化）です。
  • 横移動・影響拡大
    • ISEが配下ネットワーク機器（NAD）へ配布する認可プロファイルやSGTを改変し、意図的にアクセス許可を拡大（T1021: Remote Services相当の横展開誘発）です。
  • 目的達成
    • データ窃取やランサム展開のために“正規アクセス”として内部に到達（T1078: Valid Accountsの成立）です。

• シナリオB：内側の踏み台（VPN/拠点/ベンダー接続）から管理面に到達

  • 既存の内部侵害から管理セグメントへ横移動（T1021: Remote Services）です。
  • 同様にAPI認証バイパスの悪用→ISE内での権限確立（T1098）です。
  • pxGrid/ERS連携を通じて他セキュリティ基盤へ“信頼済みの誤情報”を伝播（T1562）です。

影響の要点:

• ポリシーの書き換えにより、EDR未導入端末や未許可端末が“合格”扱いとなるリスクが高いです。
• RADIUS/TACACS共有鍵、pxGrid証明書、API統合アカウントなど“信頼の素材”が連鎖的に漏洩・悪用される懸念があります。
• 認証・可視化・隔離の三位一体が崩れ、検知よりも先に「広く、静かに」環境が開放されるのが最悪パターンです。

セキュリティ担当者のアクション

“今できる現実的な順序”で列挙します。組織の変更管理や可用性要件と併せて優先度を調整してください。

• 即時（0〜24時間）

  • 露出の把握と遮断
    • ISEの管理面（GUI/API）が到達可能なソースを全洗い出しし、許可元IPを最小化するファイアウォールACLに即時切り替える（可能なら一時的に管理APIを停止・ブロック）です。
    • インターネット経由や不要な拠点・ベンダー経由での到達経路を遮断し、管理用踏み台（ジャンプホスト/Privileged Access Workstation）経由のみに限定する設計へ暫定移行するです。
  • 監視の強化
    • ISEの管理・APIアクセスログ、監査ログ、構成変更ログをSIEMに集約し、直近7〜14日の急増や異常（短時間に連続するAPI呼び出し、新規管理アカウント、ポリシー/認可プロファイルの改変）を重点探索するです。
    • 連携基盤（pxGrid連携先、NAD、認証連携するIdP/PKI）の監査ログにも横断クエリを走らせ、同時刻帯の不審連鎖を確認するです。
  • パッチ計画とステークホルダー調整
    • Ciscoが提供する修正済みリリースへのアップグレード計画を確定し、Change Freezeの例外承認を経営と合意するです。
    • ISEは多ノード（PAN/PSN/MnT）構成が一般的なため、冗長性を活かしたローリングアップグレード手順を事前にドライランするです。

• 短期（24〜72時間）

  • パッチの適用
    • 影響度・露出度の高いノードから優先的に適用し、適用後はバージョン・ビルド番号・機能健全性（認証/認可/隔離/連携）の簡易テストを実施するです。
  • 代替・補完統制
    • 一時的にポリシーを“より厳格”側に倒し、許可対象をホワイトリスト寄りに絞ることで、想定外の通過を抑制するです。
    • 重要セグメント（ドメインコントローラ、ソースコード管理、支払/生産系）への到達には二重のネットワーク条件（SGT＋L3ACLなど）を要求するよう暫定強化するです。

• 侵害兆候がある場合（並行して）

  • 封じ込めとフォレンジック
    • 監査ログを退避しつつ管理面を隔離、該当期間のフォレンジック取得を実施するです。
  • “信頼素材”のローテーション
    • すべての管理者アカウントの強制リセット、API連携の資格情報再発行、RADIUS/TACACS共有鍵の再設定（全NADに反映）、pxGrid証明書・信頼ストアの再配備を計画的に進めるです。
    • ISEが証明書発行・登録プロセスやIdP連携に関与している場合、該当鍵・証明書・接続アプリの洗い替え計画を立て段階的に実行するです。
  • ポリシー完全性の検証
    • Authorization Profile、SGT、ダウンロードACL、Device Adminポリシー、Identity Groupなどに“不審な新規/変更/無効化”がないか標準構成との差分を精査するです。

• 中期（1〜4週間）

  • 設計の見直し（アイデンティティ制御プレーンの強靭化）
    • 管理面は物理/論理的に分離し、ゼロトラストPAW＋強制ジャンプ＋強制MFAを適用するです。
    • 重大更新時の“二人承認（4-eyes）”と、ポリシー変更のリアルタイム監査/アラートを標準化するです。
    • ISE連携（pxGrid/ERS）におけるスコープ最小化と“必要時のみオン”を原則化するです。
  • 外部リスクへの波及抑止
    • MSP/委託先/海外拠点を含むサプライチェーンに対し、当該CVEへの対応状況確認と到達経路の遮断確認を求めるです。
  • 準リアルタイムの露出監査
    • 攻撃表面管理（EASM/ASM）を使い、ISE管理面の外部露出や誤開放がないか継続監査するです。

• 経営・コミュニケーション

  • 「可用性よりも信頼性が優先」の局面であることを明確にし、暫定的な利便性低下を伴う統制強化を全社に通知するです。
  • 予想問合せ（端末がつながらない等）の一次切り分けFAQとエスカレーションフローを整備するです。

最後に、CISAのKnown Exploited Vulnerabilities（KEV）への追加は本件の性質上、高確率で想定されますが、これは仮説であり、都度公式ページでの確認をお願いします。KEV掲載時は期限付きの対処要求が政府調達・規制セクターで発生するため、準備を前倒しする価値が高いです。

参考情報

• ゼロデイ速報（報道）: Cisco Warns of New Zero-Day ISE Auth Bypass Vulnerability (The Hacker News)
• CISA Known Exploited Vulnerabilities Catalog（一次情報・総覧）: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Cisco ISE 製品ページ（一次情報・機能背景の把握に）: https://www.cisco.com/c/en/us/products/security/identity-services-engine/index.html

編集後記 今回の事案は、ツールの脆弱性というより「信頼の作り方」を揺さぶる攻撃でした。ゼロトラストの現実は、魔法の言葉ではなく、丁寧な分離と地道な監査の積み重ねにあります。ISEの“止めどころ”をどこに置き、何を最後に信用するのか——その設計力が、次の1年の強さを決めると感じます。どうか“信頼の土台”に今すぐ手当をして、チームの安心を取り戻していきましょう、です。