Bypass di autenticazione in Cisco ISE: scaduto il termine CISA per la correzione

Una vulnerabilità di massima gravità in Cisco Identity Services Engine ha ormai mancato la scadenza federale per l'applicazione delle patch. CVE-2026-76460, un bypass di autenticazione non autenticato che interessa un'API di ISE e ISE-PIC, ha un punteggio CVSS di 10,0. Cisco l'ha divulgata il 16 settembre 2026 e ha confermato lo sfruttamento attivo; la Cybersecurity and Infrastructure Security Agency statunitense l'ha aggiunta al suo catalogo Known Exploited Vulnerabilities lo stesso giorno, concedendo alle agenzie civili federali tempo fino al 19 settembre per la remediation, una delle finestre più brevi emesse da CISA quest'anno. Quella data è ormai passata.

Cosa consente il difetto

Cisco afferma che il bug deriva da un controllo di autenticazione insufficiente su un endpoint API: una richiesta appositamente creata bypassa completamente il login, indipendentemente dalla configurazione. Da lì, un attaccante può raggiungere funzioni privilegiate e infine eseguire comandi con privilegi di root, esponendo o alterando i dati di identità e configurazione che ISE detiene per il controllo degli accessi di rete, i controlli di postura VPN e l'onboarding degli ospiti. Cisco ha individuato il problema durante la risoluzione di un caso di supporto e ha dichiarato che non esiste workaround: l'unica remediation è la patch del vendor.

Patch e mitigazione

Le release corrette di Cisco sono 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. ISE 3.0 ha raggiunto la fine della manutenzione software e non ha correzioni; quelle implementazioni devono migrare a un ramo supportato. Finché ogni nodo non è patchato, Cisco raccomanda di limitare l'esposizione del piano di gestione con liste di controllo degli accessi infrastrutturali come riduzione del rischio parziale e temporanea, non come sostituto della patch.

Verifica di compromissioni precedenti

Poiché uno sfruttamento riuscito può garantire accesso root, un attaccante potrebbe essere in grado di rimuovere o alterare le prove locali. Cisco consiglia di esaminare il file ise-kong/access.log su ogni nodo alla ricerca di nomi utente sospetti e di correlare i risultati con i log del firewall esterno e i dati NetFlow, invece di affidarsi esclusivamente ai record dell'appliance stessa. Se si sospetta una compromissione, il percorso più sicuro è reinstallare l'immagine del nodo e ripristinare la configurazione da un backup noto e integro.

Questa CVE è distinta dai difetti separati divulgati nella stessa settimana in Cisco FMC e Secure Email Gateway: trattale ognuna con la propria sequenza di patch invece di presumere che una singola correzione copra le altre. Per qualsiasi organizzazione che esegue ISE oltre la scadenza mancata, la sequenza è la stessa: applica subito la patch a ogni nodo, limita nel frattempo l'accesso di gestione ed esegui la revisione dei log prima di dichiarare chiuso l'incidente.

Fonti: Cisco Security Advisory, BleepingComputer, SOCRadar.