نسخه‌های تحت تأثیر و پچ‌شده آسیب‌پذیری روز صفر ISE
این آسیب‌پذیری روز صفر، محصولات Cisco ISE و Cisco ISE Passive Identity Connector (ISE-PIC) را، صرف‌نظر از پیکربندی دستگاه، تحت تأثیر قرار می‌دهد. سیسکو برای رفع این آسیب‌پذیری، پچ‌های امنیتی را برای نسخه‌های زیر منتشر کرده است:
| نسخه تحت تأثیر | نسخه پچ‌شده |
| 3.1 | Patch 12 |
| 3.2 | Patch 11 |
| 3.3 | Patch 12 |
| 3.4 | Patch 7 |
| 3.5 | Patch 4 |
سیسکو اعلام کرده است که از سوءاستفاده فعال از این آسیب‌پذیری آگاه است و به مشتریان خود توصیه کرده است برای مقابله با این تهدید، نرم‌افزار را به یکی از نسخه‌های دارای پچ امنیتی به‌روزرسانی کنند. این شرکت تاکنون جزئیاتی درباره نحوه انجام حملات یا هویت مهاجمان منتشر نکرده است.
شناسایی شاخص‌های نفوذ و پیامدهای سوءاستفاده
برای شناسایی شاخص‌های نفوذ (IoCs)، کاربران باید فایل access.log را بررسی کنند و به دنبال نام‌های کاربری مشکوک باشند. در استقرارهای توزیع‌شده (Distributed Deployment)، باید لاگ‌های تمام نودها (Node) بررسی شوند تا موارد احتمالی سوءاستفاده از این آسیب‌پذیری روز صفر شناسایی شوند.
سیسکو برای بررسی نام‌های کاربری مشکوک، دستور زیر را ارائه کرده است:
admin#show logging application ise-kong/access.log | include dummyuserوجود هرگونه ورودی در خروجی این دستور می‌تواند نشانه فعالیت مخرب باشد. اگر چنین موردی شناسایی شود، توصیه می‌شود ایمیج نودهای درگیر مجدداً نصب شود (Re-image) و در صورت نیاز، پیکربندی سیستم از روی نسخه پشتیبان پیکربندی بازیابی شود.
همچنین سیسکو هشدار داده است که سوءاستفاده موفق از این آسیب‌پذیری می‌تواند به مهاجمان امکان دهد دستورهایی را با سطح دسترسی Root اجرا کنند. مهاجم با دستیابی به چنین سطحی از دسترسی، می‌تواند شواهد حمله و سایر شاخص‌های نفوذ را حذف یا پنهان کند؛ در نتیجه، شناسایی آثار حمله پس از نفوذ دشوارتر خواهد شد.
اقدامات کاهش ریسک برای این آسیب‌پذیری روز صفر
سیسکو اعلام کرده است که برای این آسیب‌پذیری راهکار موقت (Workaround) ارائه نشده است. با این حال، سازمان‌ها می‌توانند برای کاهش ریسک، از فهرست‌های کنترل دسترسی زیرساختی (iACLs) استفاده کنند. این فهرست‌ها امکان محدودکردن ترافیک ورودی را فراهم می‌کنند تا فقط ترافیک ضروری مربوط به مدیریت و کنترل پنل (Control Plane) به دستگاه موردنظر دسترسی داشته باشد.
از سوی دیگر، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در 16 سپتامبر 2026، آسیب‌پذیری روز صفر CVE-2026-76460 را به فهرست KEV اضافه کرد. بر اساس این اقدام، دستگاه‌های اجرایی فدرال غیرنظامی آمریکا (FCEB) موظف هستند پچ این آسیب‌پذیری را تا 19 سپتامبر 2026 اعمال کنند.
مجموعه‌ای از آسیب‌پذیری‌های بحرانی در محصولات سیسکو
افشای آسیب‌پذیری روز صفر CVE-2026-76460 تنها چند روز پس از آن انجام شد که سیسکو اعلام کرد یک آسیب‌پذیری بحرانی در نرم‌افزار AsyncOS مورد استفاده در گیت‌وی ایمیل امن سیسکو (Cisco Secure Email Gateway) با شناسه CVE-2026-76461 و امتیاز 9.8 در معیار CVSS، در حملات واقعی به‌طور فعال مورد سوءاستفاده قرار گرفته است.
علاوه بر CVE-2026-76460، سیسکو برای چندین آسیب‌پذیری بحرانی دیگر در محصولات مختلف خود نیز پچ‌های امنیتی منتشر کرده است. بخشی از این به‌روزرسانی‌ها در قالب اقدامات ایمن‌سازی (Security Hardening) و در ادامه بررسی‌های امنیتی مستمر این شرکت ارائه شده‌اند.
از میان 77 شناسه CVE جدیدی که در 16 سپتامبر 2026 منتشر شدند، 41 مورد به محصول سیسکو ISE و 28 مورد به مجموعه محصولات فایروال امن سیسکو (Cisco Secure Firewall) مربوط هستند.
مهم‌ترین آسیب‌پذیری‌های این مجموعه عبارتند از:
- CVE-2026-20176 (CVSS 9.9)، CVE-2026-20211 (CVSS 9.1) و CVE-2026-20307 (CVSS 9.1): چندین آسیب‌پذیری در ISE که به مهاجم راه دور و احراز هویت‌شده اجازه می‌دهند دستورهای دلخواه را روی سیستم‌عامل دستگاه اجرا کند. برای سوءاستفاده از این آسیب‌پذیری‌ها، مهاجم باید اعتبارنامه معتبر مدیریتی در اختیار داشته باشد.
- CVE-2026-76423 (CVSS 10.0)، CVE-2026-76424، CVE-2026-76425، CVE-2026-76426، CVE-2026-76427 و CVE-2026-76428: مجموعه‌ای از آسیب‌پذیری‌ها در ISE و ISE-PIC که به یک مهاجم راه دور اجازه دور زدن فرآیند احراز هویت در REST API، اجرای کد از راه دور (RCE)، انجام حملات تزریق SQL (SQL Injection) یا نفوذ از طریق حمله تزریق XML External Entity (XXE) را می‌دهند.
- CVE-2026-20282 (CVSS 9.1)، CVE-2026-20283 و CVE-2026-20284: چندین آسیب‌پذیری در ISE که به مهاجم راه دور و احراز هویت‌شده اجازه اجرای حملات تزریق SQL، تغییر داده‌ها یا اجرای دستورهای دلخواه روی سیستم‌عامل دستگاه را می‌دهند.
- CVE-2026-20305 (CVSS 9.1) و CVE-2026-20306 (CVSS 9.1): آسیب‌پذیری‌هایی در ISE و ISE-PIC که می‌توانند امکان تزریق دستور (Command Injection) و اجرای دستورهای دلخواه با سطح دسترسی Root را برای مهاجم راه دور و احراز هویت‌شده فراهم کنند. سوءاستفاده از این آسیب‌پذیری‌ها به اعتبارنامه‌های معتبر مدیریتی نیاز دارد.
- CVE-2026-20322 (CVSS 9.9)، CVE-2026-20325 (CVSS 9.9)، CVE-2026-20326 (CVSS 9.8)، CVE-2026-20360، CVE-2026-20361 و CVE-2026-76409: آسیب‌پذیری‌هایی در Cisco Nexus Dashboard که می‌توانند منجر به تزریق دستور (Command Injection) ، دور زدن احراز هویت یا مجوزهای دسترسی و افشای اطلاعات شوند.
- CVE-2026-20130 (CVSS 10.0)، CVE-2026-20192 (CVSS 10.0)، CVE-2026-20194 (CVSS 9.1)، CVE-2026-20234 (CVSS 9.9)، CVE-2026-20237 (CVSS 9.9) و CVE-2026-20287: مجموعه‌ای از آسیب‌پذیری‌ها در ISE و ISE-PIC که می‌توانند زمینه را برای تزریق دستور، دور زدن احراز هویت یا مجوزهای دسترسی و افشای اطلاعات فراهم کنند.
- CVE-2026-20329 (CVSS 9.9)، CVE-2026-20330 (CVSS 9.9)، CVE-2026-20331 (CVSS 9.6)، CVE-2026-20332 (CVSS 9.0)، CVE-2026-20333، CVE-2026-20334، CVE-2026-20335 و CVE-2026-20336: مجموعه‌ای از آسیب‌پذیری‌ها در فایروال امن سیسکو ASA، FTD و FMC (Cisco Secure Firewall ASA, FTD and FMC) که بر اساس طبقه‌بندی CWE، به مواردی مانند مدیریت نادرست شرایط استثنایی، کنترل دسترسی نامناسب، رعایت نکردن استانداردهای کدنویسی و مدیریت نادرست چرخه عمر منابع مربوط می‌شوند.
- CVE-2026-76412، CVE-2026-76413 و CVE-2026-76420 (CVSS 9.0): آسیب‌پذیری‌هایی در مرکز مدیریت فایروال امن سیسکو (FMC) که می‌توانند به مهاجم راه دور امکان دستیابی به سطح دسترسی Root و جعل نشست یا جعل هویت در نشست را بدهند.
- CVE-2026-20324 (CVSS 9.9): آسیب‌پذیری در پروتکل ارتباطی بین دستگاهی sftunnel در FMC که می‌تواند به یک مهاجم راه دور و احراز هویت‌شده اجازه دهد دستورهای دلخواه را با سطح دسترسی Root اجرا کند.
- CVE-2026-20340، CVE-2026-20341 (CVSS 9.1)، CVE-2026-20342، CVE-2026-20343 و CVE-2026-20344: آسیب‌پذیری‌هایی در FMC که می‌توانند امکان دستیابی به سطح دسترسی Root، دانلود فایل‌های حساس، اجرای حملات تزریق SQLیا ایجاد انکار سرویس (DoS) را برای مهاجم فراهم کنند.
- CVE-2026-20242 (CVSS 9.8): آسیب‌پذیری در قابلیت دسترسی به پایگاه داده خارجی در نرم‌افزار FMC که می‌تواند به یک مهاجم راه دور و بدون احراز هویت اجازه دهد دستورهای دلخواه را با سطح دسترسی Root روی دستگاه اجرا کند.
- CVE-2026-20353 (CVSS 9.8)، CVE-2026-76440 (CVSS 9.8)، CVE-2026-76441 (CVSS 9.8)، CVE-2026-76442 (CVSS 9.8) و CVE-2026-76443: مجموعه‌ای از آسیب‌پذیری‌ها در گیت‌وی ایمیل امن سیسکو و مدیریت‌کننده ایمیل و وب امن سیسکو (Cisco Secure Email and Web Manager) که می‌توانند منجر به عبور از مسیرهای غیرمجاز فایل (Path Traversal)، دور زدن احراز هویت یا مجوزهای دسترسی، مصرف کنترل‌نشده منابع (Uncontrolled Resource Consumption) و تزریق دستور شوند.
اگرچه هیچ‌یک از آسیب‌پذیری‌های اشاره‌شده در این مجموعه در فهرست KEV قرار نگرفته‌اند، اما شدت بالای برخی از آن‌ها و وجود مسیرهای مختلف برای اجرای کد دلخواه، اهمیت اعمال سریع پچ‌های امنیتی را افزایش می‌دهد.
