Kerngegevens
- Leverancier
- Cisco
- Soort software
- netwerk
- Getroffen versies
- Cisco Identity Services Engine 3.1.0, 3.2.0, 3.3.0, 3.4.0, 3.5.0
- Cisco Identity Services Engine Passive Identity Connector 3.1.0, 3.2.0, 3.3.0, 3.4.0
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 16 september 2026
- Op de KEV-lijst sinds
- 16 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In een API van Cisco Identity Services Engine (ISE) zit een fout in de controle van de inloggegevens. Een aanvaller kan daardoor de authenticatie omzeilen zonder in te loggen. Het lek wordt al actief misbruikt en staat sinds 16 september 2026 op de lijst met misbruikte lekken van de Amerikaanse overheidsdienst CISA.
Wie loopt risico?
Je loopt risico als je Cisco ISE of de Passive Identity Connector gebruikt in een van de genoemde versies (3.1.0 tot en met 3.5.0 voor ISE, 3.1.0 tot en met 3.4.0 voor de Passive Identity Connector). De aanvaller hoeft niet ingelogd te zijn en heeft geen hulp van een gebruiker nodig. Het risico is het grootst als de beheerinterface of API via het netwerk bereikbaar is, zeker vanaf internet.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer of je ISE gebruikt
Ga na of je Cisco Identity Services Engine of de Passive Identity Connector inzet en welke versie draait. De genoemde versies zijn 3.1.0, 3.2.0, 3.3.0, 3.4.0 en 3.5.0 (voor de Passive Identity Connector tot en met 3.4.0).
Lees het advies van Cisco
Open het beveiligingsadvies van Cisco (cisco-sa-ISE-ABP-VNSW7Tn5) en voer de daarin beschreven maatregelen uit. In de gegevens staat geen opgeloste versie genoemd, dus volg wat de leverancier voorschrijft.
Beperk de bereikbaarheid
Zorg dat de webgebaseerde beheerinterface en de API niet vanaf internet bereikbaar zijn. Sta alleen toegang toe vanaf een afgeschermd beheernetwerk.
Zoek naar tekenen van misbruik
Bekijk logbestanden en recente wijzigingen op je ISE-systemen op ongebruikelijke toegang of aanpassingen. Het lek wordt actief misbruikt, dus een aanval kan al hebben plaatsgevonden.
Stop het gebruik als er geen maatregelen zijn
CISA adviseert het product niet meer te gebruiken als er geen maatregelen beschikbaar zijn. Schaf het systeem in dat geval af of schakel het uit totdat Cisco een oplossing biedt.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De fout zit in een API-endpoint van Cisco ISE waarop de authenticatiecontrole onvoldoende is. Een niet-geauthenticeerde aanvaller kan via het netwerk een speciaal samengesteld verzoek naar dit endpoint sturen. Daarmee omzeilt hij de authenticatie en krijgt hij ongeautoriseerde toegang tot het apparaat via de webgebaseerde beheerinterface. De CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) geeft aan dat de aanval eenvoudig is, geen rechten of gebruikersinteractie vereist en grote gevolgen heeft voor vertrouwelijkheid, integriteit en beschikbaarheid. De fout is ingedeeld als onjuist gebruik van geprivilegeerde API's (CWE-648).
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-648 · Onjuist gebruik van geprivilegeerde API's
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 75,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 16 september 2026
- Deadline van CISA
- 19 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend