シスコ、悪用が確認されたISEのゼロデイについて警告（CVE-2026-76460）

シスコ、悪用が確認されたISEのゼロデイについて警告　深刻度は最高レベル（CVE-2026-76460）

BleepingComputer – September 17, 2026

シスコは16日、ゼロトラスト型のアクセス制御とセキュリティポリシーを一元管理するプラットフォームCisco Identity Services Engine（ISE）の深刻な脆弱性に対処するため、セキュリティアップデートをリリースした。

このバグはCVE-2026-76460として追跡され、深刻度が最高レベルと評価されている。実際の攻撃で悪用されたことが判明しており、修正済みのソフトウェアリリースへアップグレードすることが唯一の推奨される対策のようだ。

シスコの説明によると、この脆弱性はAPIエンドポイントにおける認証制御の不備に起因し、設定に関係なく、Cisco ISEおよびCisco ISE Passive Identity Connector（ISE-PIC）のAPIにある脆弱性を悪用することで、リモートの攻撃者が認証を回避できるようになるという。米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は16日にCVE-2026-76460をKEV（悪用が確認済みの脆弱性）カタログに追加し、連邦政府各機関に対して3日以内のパッチ適用を命じた。

なお、シスコはISE／ISE-PICで認証バイパスを可能にする別の深刻な脆弱性（CVE-2026-76423）とその他5件の重大なセキュリティ欠陥（CVE-2026-76460、CVE-2026-20176、CVE-2026-20211、CVE-2026-20307、CVE-2026-20284）を修正するパッチもリリースしたが、これらが攻撃で悪用されたとの報告は確認されていない。悪用が確認されたシスコ製品の脆弱性は過去5年間で99件あり、そのうちランサムウェア攻撃で悪用されたものは7件を数える。

米CISA、脆弱性情報の週次配信を終了へ　リスクベースのアプローチへの方向転換で

SecurityWeek – September 17, 2026

CISAは16日、毎週発行していた脆弱性ブレティンを9月28日で終了すると発表した。その背景には、脆弱性管理のアプローチをリスクベースのものへ変えていくという政府の意向が反映されているという。

このブレティンは毎週新たに確認された脆弱性の概要をまとめたもので、製品名、脆弱性の詳細、公開日、深刻度、CVSSスコア、CVE識別子、およびパッチ情報（利用可能な場合）などが記されている。各号には数千件もの脆弱性が記載され、影響を受ける製品名や深刻度順に整理されているが、こうした脆弱性に優先順位を付けるための指針は示されていなかった。

CISAは今回の決定について、「ただの深刻度スコアではなく、悪用や露出の証拠といった実際のリスク要因に基づいて脆弱性を優先順位付けするよう指示した『BOD（拘束力のある運用指令）26-04』に沿ったもの」と説明した。6月に発行されたBOD 26-04は、脆弱性管理ポリシーの見直しと更新、KEVカタログに掲載された脆弱性の修正を優先的に行うことを連邦政府各機関に義務付けている。

週次ブレティンの終了に伴い、これまで新規の脆弱性情報を得るために同ブレティンを利用してきたセキュリティ運用センター（SOC）などは、対応の変更を迫られる可能性があるとSecurtyWeekは指摘した。CISAは今後もKEVカタログ、アラート、アドバイザリーを通じ、リスクに焦点を当てた脆弱性情報を提供し続ける意向を示している。