CISA, Cisco ISE'deki ayrıcalıklı API açığı CVE-2026-76460'ı aktif olarak istismar ediliyor listesine aldı

CISA, Cisco Identity Services Engine'i etkileyen CVE-2026-76460 açığını, kurumun yalnızca sahada aktif saldırı altında olduğu doğrulanan zafiyetler için ayırdığı Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. dev.to'da yayımlanan bir yazıya göre kayıt 16 Eylül 2026'da eklendi, hata ayrıcalıklı API'lerin yanlış kullanımı olarak sınıflandırıldı ve fidye yazılımı kampanyalarında kullanımının bilinip bilinmediği "bilinmiyor" olarak işaretlendi.

Ağın kapı bekçisindeki zayıflık

Identity Services Engine, Cisco'nun ağ erişim kontrolü ve politikası platformudur. Hangi kullanıcı ve cihazların ağa girebileceğine ve bağlandıktan sonra neleri görebileceklerine karar verir. dev.to analizinde belirtildiği gibi, bu karar katmanındaki bir zayıflık yalnızca tek bir uygulamayı değil,整个 ağın güven modelini etkiler.

Açık tanımının kapsadığı durumlar

Katalog kaydında adı geçen hata sınıfı, bir uygulamanın arayüzü işlemin gerçekte gerektirdiğinden daha fazla yetkiyle çağırması veya isteği yapanın kimliğini düzgün doğrulamadan çağırması durumlarını kapsar. Pratik sonucu, daha düşük ayrıcalıklı bir etkinin, daha yüksek ayrıcalık gerektiren eylemleri tetikleyebilmesidir.

Bir politika platformunda bu ayrıcalıklı işlemler arasında yetkilendirme kurallarını değiştirmek, kimlik verilerini okumak ve ağ kimlik doğrulamasında kullanılan sertifikaları ve anahtarları yönetmek yer alır. Daha düşük ayrıcalıklı bir arayüz bunlardan herhangi birini tetikleyebiliyorsa, yönetim ile sıradan operasyon arasındaki ayrım çöker.

ISE'nin ele geçirilmesi neden çoğundan daha ağır vurur

dev.to yazısı, Identity Services Engine'in sıklıkla 802.1X kimlik doğrulaması ve cihaz durumu (posture) kararları için yetkili merci olarak dağıtıldığını açıklıyor. Bu yetkiyi ele geçiren bir saldırgan, reddedilmesi gereken bir cihaza ağ erişimi verebilir veya ağı segmentlere ayıran politikaları yeniden yazabilir.

Güven yoğunlaşması işleri daha da kötüleştirir. Ağ ekipmanları tasarım gereği platformun kararlarını kabul eder ve güvenlik yığınının geri kalanı da genellikle kayıtlarını otoriter olarak değerlendirir. Bu nedenle bir ele geçirme hem erişim kontrolünü hem de ağda ne olduğuna dair kaydı çarpıtır. KEV kaydının kendisi asıl kritik olgudur: istismarın gözlemlendiğini ortaya koyar, yamanın önceliğini yükseltir ve ardından yapılması gereken incelemenin kapsamını genişletir.

Yöneticilerin neleri kontrol etmesi gerekiyor

dev.to yazısı bir müdahale kontrol listesi sunuyor:

• Dağıtılmış bir kurulumdaki her düğümü kapsayacak şekilde, kurulu sürümleri ve yama seviyelerini üretici danışma belgesiyle karşılaştırın; çünkü kısmen yamanmış bir kurulum açık arayüzü hâlâ görünür kılabilir.
• Bu haklara sahip olmaması gereken hesapların gerçekleştirdiği eylemler ve beklenmeyen kaynaklardan gelen API çağrıları için yönetimsel denetim kayıtlarını inceleyin.
• Belgelenmiş değişiklik talepleri dışında kalan politika değişikliklerini, özellikle yetkilendirme kurallarında veya ağa izin verilen cihaz kümesinde yapılan düzenlemeleri arayın.
• Politika platformu ile yönettiği ağ cihazları arasında paylaşılan kimlik bilgilerini ve sertifikaları döndürün.
• Yönetim arayüzünün yalnızca bilinen yönetim ağlarıyla sınırlı olduğunu ve kullanıcı ya da konuk segmentlerinden erişilemediğini doğrulayın.

Katalog kaydının içermedikleri

KEV kaydı, 22 Eylül 2026'da yayımlanan 2026.09.22 sürümünü kaynak gösteren dev.to yazısına göre yalnızca CVE tanımlayıcısını, etkilenen ürünü, hata tanımını ve eklenme tarihini içeriyor. Etkilenen sürümleri, CVSS puanlarını veya istismar mekaniğini içermiyor. Bu nedenle operatörler, tam kapsam ve düzeltme adımları için yalnızca kataloğa değil, üretici danışma belgesine başvurmalı.

Neden önemli

Bir KEV kaydı, rutin bir yamayı aktif bir olay müdahalesi kalemine dönüştürür ve ABD federal kurumları için genellikle zorunlu düzeltme sürelerini başlatan saat olur. Hedef, çarpıcı etkisini büyütür: Identity Services Engine, kararlarını diğer sistemlerin sorgusuz kabul ettiği bir güven çapasıdır; oradaki bir açık, aynı açığın başına kapalı bir sistemde olmasından daha ağır sonuçlar doğurur.

dev.to analizi ayrıca daha geniş bir mimari ders çıkarıyor — platform ele geçirilirse yapabileceklerini azaltın. Mimarinin izin verdiği yerlerde, politika motorunun hangi cihazlara erişebileceğini sınırlamak ve yönetim düzlemini veri düzleminden ayırmak, istismar edilen bir açığın etki alanını daraltır. Yamalamak bu kapıyı kapatır; bu tasarım önlemleri bir sonraki kapı açıldığında hasarı sınırlar.