Cisco за одну неделю залатала два root-бага с максимальным баллом опасности

14 и 16 сентября 2026 года Cisco выпустила два экстренных патча для уязвимостей с максимально возможной практической опасностью — обе позволяют захватить root-доступ к устройству без единого пароля, и обе уже эксплуатировались атакующими до выхода исправлений. Это не разовый инцидент: за одну неделю компания закрыла два разных root-бага в двух разных продуктах.

Email Gateway: SQL-инъекция без пароля

14 сентября Cisco раскрыла CVE-2026-76461 — критическую неаутентифицированную SQL-инъекцию в AsyncOS, программной платформе, на которой работает Cisco Secure Email Gateway. Оценка по CVSS — 9.8 из 10. Проблема вызвана недостаточной проверкой данных в логике разбора писем: атакующему достаточно отправить через шлюз специально сформированное письмо с вредоносными SQL-конструкциями, не имея вообще никаких учётных данных и не дожидаясь действий пользователя. Успешная эксплуатация позволяет выполнять произвольные SQL-команды и получать выполнение команд с правами root в операционной системе устройства. CISA добавила уязвимость в каталог активно эксплуатируемых угроз в день публикации уведомления и установила федеральным ведомствам США срок устранения — 17 сентября.

ISE: ещё хуже — 10 из 10

Спустя два дня, 16 сентября, Cisco раскрыла CVE-2026-76460 — уязвимость максимальной опасности, 10.0 из 10 по CVSS, в Cisco Identity Services Engine (ISE) и ISE Passive Identity Connector (ISE-PIC). Проблема в API-эндпоинте, используемом для управления устройством: атакующий без аутентификации может получить root-права на устройстве. CISA внесла уязвимость в каталог активно эксплуатируемых угроз в тот же день, 16 сентября, подтвердив реальные атаки. Исправленные версии: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4 — уязвимы все конфигурации Cisco ISE и ISE-PIC.

Почему именно Cisco

ISE и Email Gateway — это не рядовые корпоративные приложения, а инфраструктура управления доступом и почтовый шлюз: системы, которые по определению обрабатывают недоверенный внешний трафик и одновременно имеют широкие привилегии внутри сети. Это уже не первый критический баг в продуктах Cisco за последнее время — ранее в сентябре схожим образом была раскрыта уязвимость обхода аутентификации в Cisco Catalyst SD-WAN Manager (CVSS 9.8). Три критических 0-day в разных продуктах одного вендора за короткий период — сигнал не о случайности, а о том, что сетевая инфраструктура Cisco стала приоритетной целью для группировок, которые охотятся именно за такими точками: взлом однажды даёт доступ сразу ко множеству систем за периметром.

Что делать на практике

Для организаций, использующих уязвимые продукты, установка патчей — не отложенная задача, а приоритет: обе уязвимости уже использовались в реальных атаках до выхода исправлений. Cisco рекомендует проверить access.log устройств ISE на подозрительные имена пользователей как индикатор компрометации, а при обнаружении признаков взлома — переустановить систему на затронутых узлах и восстановить конфигурацию из резервной копии. Дополнительная мера для обоих продуктов — ограничить доступ к управляющим интерфейсам через списки контроля доступа на сетевом оборудовании, не полагаясь только на аутентификацию самого устройства.