Falha de bypass de autenticação no Cisco ISE já ultrapassou o prazo da lista KEV da CISA

Uma vulnerabilidade de gravidade máxima no Cisco Identity Services Engine já falhou o prazo federal de aplicação de correções. A CVE-2026-76460, um bypass de autenticação não autenticado que afeta uma API do ISE e do ISE-PIC, tem uma pontuação CVSS de 10.0. A Cisco divulgou-a a 16 de setembro de 2026 e confirmou a exploração ativa; a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA adicionou-a ao seu catálogo de Vulnerabilidades Exploradas Conhecidas no mesmo dia, dando às agências civis federais até 19 de setembro para remediar — uma das janelas mais curtas que a CISA emitiu este ano. Essa data já passou.

O que a falha permite

A Cisco afirma que o erro resulta de um controlo de autenticação insuficiente num endpoint da API: um pedido especialmente concebido contorna completamente o início de sessão, independentemente da configuração. A partir daí, um atacante pode aceder a funções privilegiadas e, em última análise, executar comandos com privilégios de root, expondo ou alterando os dados de identidade e configuração que o ISE mantém para controlo de acesso à rede, verificações de postura de VPN e integração de convidados. A Cisco descobriu o problema ao resolver um caso de suporte e declarou que não existe solução alternativa — a única remediação é o patch do fornecedor.

Corrigir e mitigar

As versões corrigidas da Cisco são 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. O ISE 3.0 chegou ao fim da manutenção de software e não tem correção; essas implementações precisam de migrar para uma linha suportada. Até que todos os nós estejam corrigidos, a Cisco recomenda restringir a exposição do plano de gestão com listas de controlo de acesso de infraestrutura como uma redução de risco parcial e temporária — não como substituto da aplicação de patches.

Verificar comprometimento anterior

Como uma exploração bem-sucedida pode conceder acesso root, um atacante pode conseguir remover ou alterar as evidências locais. A Cisco aconselha a rever o ise-kong/access.log em cada nó à procura de nomes de utilizador suspeitos e a correlacionar os resultados com logs de firewall externos e dados NetFlow, em vez de confiar apenas nos registos do próprio equipamento. Se houver suspeita de comprometimento, o caminho mais seguro é recriar a imagem do nó e restaurar a configuração a partir de uma cópia de segurança conhecida como íntegra.

Esta CVE é distinta das falhas separadas divulgadas na mesma semana no Cisco FMC e no Secure Email Gateway — trate cada uma na sua própria escada de patches em vez de assumir que uma correção cobre as outras. Para qualquer organização que esteja a executar o ISE depois do prazo falhado, a sequência é a mesma: corrija todos os nós agora, restrinja o acesso de gestão entretanto e execute a revisão de logs antes de declarar o incidente encerrado.

Fontes: Cisco Security Advisory, BleepingComputer, SOCRadar.