Cisco ISE : un 10 parfait, sans solution

Ce que Cisco a vraiment révélé

Cisco a publié un avis de sécurité le 16 septembre 2026 sur CVE-2026-76460, une faille d'authentification dans Identity Services Engine et ISE Passive Identity Connector causée par un contrôle insuffisant sur un point de terminaison API.

Un attaquant distant non authentifié peut envoyer une requête spécialement construite à ce point de terminaison et atteindre l'interface de gestion web de l'appareil sans jamais présenter d'identifiants administrateur valides. L'équipe de réponse aux incidents de Cisco, le PSIRT, déclare sans détour avoir déjà connaissance d'une exploitation active. Le score CVSS est de 10.0, le maximum de l'échelle, reflétant une attaque qui n'exige ni privilèges ni interaction de l'utilisateur et qui peut compromettre à la fois confidentialité, intégrité et disponibilité.

Pourquoi ISE en particulier fait l'actualité

Identity Services Engine est le produit de contrôle d'accès réseau de Cisco, le système qui authentifie chaque appareil et chaque utilisateur cherchant à rejoindre un réseau d'entreprise et décide de ce qu'il peut toucher une fois entré.

Une faille dans un serveur applicatif quelconque est un problème pour ce serveur. Une faille dans le système qui accorde la confiance réseau dès le départ est un problème pour tout ce qui se trouve derrière, parce qu'ISE est la porte que les autres défenses supposent fermée. Un attaquant qui contourne l'authentification d'ISE ne se faufile pas devant un garde, il traverse une porte où il n'y a jamais eu de garde du tout.

Le tableau des correctifs : cinq versions, cinq correctifs

Les versions 3.1 à 3.5 d'ISE et d'ISE-PIC sont toutes concernées, et chacune a besoin de son propre correctif spécifique plutôt que d'une mise à jour unique.

Une équipe informatique devrait confirmer la version exacte en cours d'exécution dans son environnement avant d'appliquer un correctif, car le mauvais numéro de correctif laisse l'appareil exposé tout en paraissant à jour.

L'absence de contournement est le vrai titre

Cisco déclare directement qu'aucune solution de contournement n'existe pour CVE-2026-76460. La seule mesure proposée consiste à restreindre le trafic de gestion et de contrôle à des systèmes explicitement fiables au moyen de listes de contrôle d'accès d'infrastructure, ce qui réduit l'exposition sans fermer la faille elle-même.

Cette distinction compte pour la planification. Un contournement achète du temps ; une mesure de réduction d'exposition n'achète qu'une fenêtre plus petite, pendant que le véritable correctif, le patch, reste encore à appliquer. Une équipe qui se persuade que l'étape iACL vaut remédiation choisit simplement de rester vulnérable, face à un ensemble de sources plus restreint.

L'échéance qui s'applique vraiment dans l'UE

L'entrée du catalogue des vulnérabilités activement exploitées de la CISA fixe une échéance au 19 septembre 2026, mais cette date ne lie que les agences civiles fédérales américaines en vertu de la Binding Operational Directive 26-04. Elle ne crée aucune obligation légale pour une entreprise en France, en Allemagne ou ailleurs dans l'UE.

L'échéance qui s'applique réellement est celle de NIS2, et elle démarre sur un déclencheur tout différent : non pas une date de catalogue, mais un incident important réel. Une entité essentielle ou importante compromise via cette faille avant l'application du correctif est soumise à une obligation d'alerte précoce auprès de son CSIRT national ou de l'autorité compétente dans les 24 heures suivant sa prise de connaissance, suivie d'une notification complète sous 72 heures. L'échéance américaine est un repère pratique d'urgence ; l'échéance de l'UE est celle qui porte de véritables conséquences si cette faille est utilisée contre vous.

Que faire aujourd'hui avant toute autre chose

Vérifiez si ISE ou ISE-PIC tourne quelque part dans l'environnement, y compris des instances qu'une unité métier ou une équipe distante aurait montées à l'insu de l'informatique centrale, car ce sont exactement ces déploiements de l'ombre qu'un cycle de correctifs guidé par catalogue rate.

Comparez la version en cours d'exécution au tableau des correctifs ci-dessus et appliquez immédiatement le bon correctif. Lorsque le correctif ne peut pas être appliqué aujourd'hui, restreignez l'interface de gestion avec une iACL, mais seulement comme mesure provisoire, jamais comme plan. Examinez ensuite les journaux d'accès de l'appareil pour tout signe que le point de terminaison ait déjà été atteint avant le correctif, car l'avis même de Cisco confirme que les attaquants sont arrivés les premiers.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-le-nous pour que nous continuions. Suivez-nous, laissez un like, ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font continuer.

À lire ensuite: L'IA comprime le temps que mettent les groupes d'espionnage à partager leurs exploits  |  Google a dit moyen. La CISA a donné 15 jours.