Cisco heeft een omvangrijke hardening-release uitgebracht voor Identity Services Engine (ISE) en ISE Passive Identity Connector (ISE‑PIC). In totaal zijn 21 kwetsbaarheden verholpen, waarvan 13 met een kritieke impactscore. Vier daarvan scoren zelfs 10,0 op de CVSS‑schaal: CVE‑2026‑20130, CVE‑2026‑20192, CVE‑2026‑76423 en CVE‑2026‑76460. (sec.cloudapps.cisco.com)

Waarom dit ertoe doet
ISE is het brein achter netwerktoegangscontrole (NAC): het bepaalt wie of wat een netwerk in mag en met welke rechten. Precies daarom is de impact groot wanneer een aanvaller authenticatie of autorisatie kan omzeilen, bestanden kan lezen of schrijven, of zelfs code kan uitvoeren met rootrechten. Cisco benadrukt dat een deel van de bugs zonder geldige inloggegevens op afstand is te misbruiken; andere vereisen lage of hoge admin‑rechten of een specifieke configuratie. (sec.cloudapps.cisco.com)

De hoofdpunten op een rij

• Vier pre‑auth, remote kwetsbaarheden springen eruit. CVE‑2026‑76423 (REST‑API) en CVE‑2026‑76460 (API‑authenticatieomzeiling) geven ongeauthenticeerde aanvallers vanaf het netwerk toegang tot het beheervlak. Voor CVE‑2026‑76460 meldt Cisco actief misbruik; na succesvolle exploit is root‑commando‑uitvoering mogelijk. Daarnaast vallen binnen de hardening‑bundel twee geaggregeerde CVE’s (CVE‑2026‑20130 en CVE‑2026‑20192) met CVSS 10,0 onder invoer‑neutralisatie en onjuiste toegangscontrole. (sec.cloudapps.cisco.com)
• Nog eens negen kritieke kwetsbaarheden raken met name geauthenticeerde beheerderspaden: remote code execution via onveilige deserialisatie of invoer/commando‑injectie, SQL‑injectie in verschillende API’s en toegang tot gevoelige configuratie‑ en identiteitsdata. Succesvol misbruik kan authenticatie en autorisatie ondermijnen, gevoelige gegevens uitlezen of wijzigen, willekeurige code of commando’s met rootrechten uitvoeren en de beschikbaarheid verstoren. (cisco.com)

Wat is precies gefikst?
Cisco publiceerde op 16 september 2026 meerdere adviezen die samen de 21 CVE’s afdekken, waaronder:

• Security Hardening Release (aggregaties per CWE‑klasse): CVE‑2026‑20130, ‑20192, ‑20194, ‑20234, ‑20237, ‑20287. (Waarvan vijf met CVSS ≥ 9,0.) (sec.cloudapps.cisco.com)
• ISE REST‑API en aanverwante issues (o.a. auth‑bypass, SQL‑injectie, bestandsacties): CVE‑2026‑76423 t/m ‑76428. (CVE‑2026‑76423 scoort 10,0.) (sec.cloudapps.cisco.com)
• Losstaand zero‑day auth‑bypass in een ISE/ISE‑PIC API: CVE‑2026‑76460 (CVSS 10,0), actief misbruikt. (sec.cloudapps.cisco.com)
• Remote code execution (drie aparte CVE’s, allemaal kritisch): CVE‑2026‑20176, ‑20211, ‑20307. (cisco.com)
• Authenticated RCE en API‑kwetsbaarheden (SXP/IPsec Open API e.a.): CVE‑2026‑20282, ‑20283, ‑20284. (CVE‑2026‑20284 is kritisch.) (cisco.com)
• Command‑injectie (ISE en ISE‑PIC, beide kritisch): CVE‑2026‑20305, ‑20306. (sec.cloudapps.cisco.com)
  Een compleet overzicht staat in Cisco’s Advance Notification voor 16 september 2026. (sec.cloudapps.cisco.com)

Risico’s en misbruikscenario’s

• Zonder authenticatie: via specifieke API‑endpoints kan een aanvaller authenticatie omzeilen en uiteindelijk met rootrechten commando’s uitvoeren. Dat opent de deur naar volledige overname van de beheerinterface en manipulatie van beleid, identiteiten en netwerktoegang. (sec.cloudapps.cisco.com)
• Met beperkte of hoge rechten: meerdere bugs vereisen (lage of hoge) admin‑rechten maar leveren daarna alsnog root‑uitvoering op of directe toegang tot databases en configuratiebestanden. (cisco.com)
• Specifieke configuraties: bepaalde issues zijn alleen exploiteerbaar bij ingeschakelde SXP‑service met verbindingen of wanneer een IPsec VTI via de API is aangemaakt. (cisco.com)

Wat moet je nu doen?

• Patch met prioriteit. Cisco heeft fixes beschikbaar. Voor ISE 3.1/3.2 zijn o.a. Patch 12 (3.1) en Patch 11 (3.2) benodigd; voor 3.3 Patch 12, voor 3.4 Patch 7 en voor 3.5 Patch 4. (Voor sommige RCE’s is 3.5 Patch 3 voldoende; check per advies.) (sec.cloudapps.cisco.com)
• Beperk beheer‑toegang. Gebruik iACL’s om alleen noodzakelijk management‑ en control‑verkeer richting ISE/ISE‑PIC toe te staan. (sec.cloudapps.cisco.com)
• Controleer op sporen van misbruik. Cisco beschrijft hoe je verdachte API‑toegangen in access.log kunt herkennen en adviseert bij indicaties van compromise om nodes te re‑imagen en te herstellen vanaf een schone back‑up. (sec.cloudapps.cisco.com)
• Check configuraties die risico vergroten. Verifieer of SXP aan staat en of er SXP‑verbindingen zijn. Heb je IPsec VTI‑tunnels via de API aangemaakt, herconfigureer die via de webinterface om een bekende kwetsbare configuratie te vermijden. (cisco.com)
• Houd rekening met lifecycle. ISE‑PIC is end‑of‑sale; 3.4 is de laatste ondersteunde release. Plan tijdig een upgradepad. (sec.cloudapps.cisco.com)

Tot slot
Voor organisaties in Nederland geldt: maak van dit patchmoment een prioriteit. Het NCSC benadrukt bij vergelijkbare ISE‑kwetsbaarheden dat kritieke updates met voorrang moeten worden doorgevoerd. Actieve exploit is bevestigd voor CVE‑2026‑76460; wacht daarom niet tot het reguliere onderhoudsvenster als je omgeving direct is blootgesteld. (advisories.ncsc.nl)

Bronnen (selectie)

• Cisco Advance Notification (16 september 2026) en de bijbehorende ISE‑advisories. (sec.cloudapps.cisco.com)
• Hardening Release (CVE‑aggregaties), ISE Vulnerabilities (REST‑API/SQL‑injectie), ISE Authentication Bypass (actief misbruikt), RCE‑reeks, Authenticated RCE/API, Command‑injectie. (sec.cloudapps.cisco.com)

Opmerking voor beheerders: valideer altijd per advies welke softwarelijn je draait en welke “first fixed” release daarbij hoort; afhankelijk van je versie kan de minimale patchstand verschillen. (sec.cloudapps.cisco.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.