Cisco 16. září vydalo nouzové opravy pro CVE-2026-76460, chybu obcházející autentizaci v Identity Services Engine (ISE) a ISE Passive Identity Connector s maximálním skóre CVSS 10,0. Koncový bod API nemá dostatečné ověřování, takže vzdálený útočník může pomocí upravených požadavků obejít webové rozhraní správy a získat příkazy s právy root.
Bezpečnostní tým Cisca potvrdil, že chyba byla zneužívána jako zero-day ještě před vydáním záplaty. Týká se všech konfigurací a neexistuje žádné náhradní řešení. Opravené verze jsou 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 a 3.5 Patch 4. Americká agentura CISA zařadila chybu téhož dne do katalogu zneužívaných zranitelností a federálním úřadům dala na záplatování dny, ne týdny.
ISE stojí v centru řízení přístupu do sítě, takže root přístup umožňuje měnit pravidla, krást přihlašovací údaje a pohybovat se po síti. Jde už o druhou kritickou zranitelnost Cisca tento týden, po chybě s právy root v Secure Email Gateway.