El fallo de omisión de autenticación de Cisco ISE ya ha vencido en la lista KEV de CISA

Una vulnerabilidad de severidad máxima en Cisco Identity Services Engine ha incumplido ya su plazo federal de parcheo. CVE-2026-76460, una omisión de autenticación no autenticada que afecta a una API de ISE e ISE-PIC, tiene una puntuación CVSS de 10.0. Cisco la divulgó el 16 de septiembre de 2026 y confirmó explotación activa; la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) la añadió a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) ese mismo día, dando a las agencias civiles federales hasta el 19 de septiembre para remediarla — una de las ventanas más cortas que CISA ha emitido este año. Esa fecha ya ha pasado.

Qué permite el fallo

Cisco afirma que el fallo se debe a un control de autenticación insuficiente en un extremo de la API: una solicitud especialmente manipulada omite el inicio de sesión por completo, independientemente de la configuración. A partir de ahí, un atacante puede acceder a funciones privilegiadas y, en última instancia, ejecutar comandos con privilegios de root, exponiendo o alterando los datos de identidad y configuración que ISE conserva para el control de acceso a la red, las comprobaciones de estado de VPN y la incorporación de invitados. Cisco encontró el problema al resolver un caso de soporte y ha declarado que no existe una solución alternativa — la única corrección es el parche del fabricante.

Parchear y mitigar

Las versiones corregidas de Cisco son 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4. ISE 3.0 ha llegado al final del mantenimiento de software y no tiene corrección; esas implantaciones deben migrar a una rama compatible. Hasta que todos los nodos estén parcheados, Cisco recomienda restringir la exposición del plano de gestión con listas de control de acceso de infraestructura como una reducción parcial y temporal del riesgo, no como un sustituto del parcheo.

Comprobar si ha habido un compromiso previo

Dado que una explotación exitosa puede otorgar acceso root, un atacante podría eliminar o alterar las evidencias locales. Cisco aconseja revisar el archivo ise-kong/access.log en cada nodo en busca de nombres de usuario sospechosos y correlacionar los hallazgos con los registros del cortafuegos externo y los datos de NetFlow, en lugar de confiar únicamente en los registros del propio equipo. Si se sospecha un compromiso, el camino más seguro es volver a crear la imagen del nodo y restaurar la configuración desde una copia de seguridad verificada.

Este CVE es distinto de los fallos separados divulgados la misma semana en Cisco FMC y Secure Email Gateway — trate cada uno con su propia escalera de parches en lugar de asumir que una única corrección cubre los demás. Para cualquier organización que ejecute ISE después del plazo incumplido, la secuencia es la misma: parchee todos los nodos ahora, restrinja el acceso de gestión mientras tanto y realice la revisión de registros antes de dar por cerrado el incidente.

Fuentes: Cisco Security Advisory, BleepingComputer, SOCRadar.