Vulnerabilitatea de bypass a autentificării Cisco ISE e acum depășită pe lista KEV a CISA

O vulnerabilitate de severitate maximă din Cisco Identity Services Engine a ratat acum termenul federal de patching. CVE-2026-76460, un bypass al autentificării neautentificat care afectează o API ISE și ISE-PIC, are un scor CVSS de 10.0. Cisco a dezvăluit-o pe 16 septembrie 2026 și a confirmat exploatarea activă; Agenția pentru Securitate Cibernetică și Infrastructură din SUA a adăugat-o în aceeași zi în catalogul Known Exploited Vulnerabilities, acordând agențiilor civile federale până pe 19 septembrie pentru remediere — una dintre cele mai scurte ferestre emise de CISA anul acesta. Această dată a trecut acum.

Ce permite vulnerabilitatea

Cisco afirmă că bug-ul provine din controlul insuficient al autentificării pe un endpoint API: o cerere special concepută ocolește complet login-ul, indiferent de configurație. De acolo, un atacator poate accesa funcții privilegiate și, în final, poate executa comenzi cu privilegii root, expunând sau alterând datele de identitate și configurație pe care ISE le deține pentru controlul accesului la rețea, verificările de postură VPN și onboarding-ul invitaților. Cisco a descoperit problema în timp ce rezolva un caz de suport și a declarat că nu există nicio soluție de contornare — singura remediere este patch-ul de la vendor.

Patch și mitigare

Release-urile fixe de la Cisco sunt 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 și 3.5 Patch 4. ISE 3.0 a ajuns la end of software maintenance și nu are fix; acele deployment-uri trebuie migrate către un train suportat. Până când fiecare nod este patched, Cisco recomandă restricționarea expunerii management-plane cu liste de control al accesului la infrastructură ca o reducere parțială și temporară a riscului — nu un substitut pentru patching.

Verificarea compromiterii anterioare

Deoarece o exploatare reușită poate acorda acces root, un atacator ar putea fi capabil să elimine sau să altereze dovezile locale. Cisco recomandă revizuirea ise-kong/access.log pe fiecare nod pentru nume de utilizator suspecte și corelarea constatărilor cu log-uri externe de firewall și date NetFlow în loc să se bazeze doar pe înregistrările proprii ale appliance-ului. Dacă se suspectează o compromitere, calea mai sigură este re-imaginarea nodului și restaurarea configurației dintr-un backup cunoscut ca fiind bun.

Acest CVE este distinct de vulnerabilitățile separate dezvăluite în aceeași săptămână în Cisco FMC și Secure Email Gateway — tratați fiecare pe propria sa scară de patching în loc să presupuneți că un singur fix le acoperă pe toate. Pentru orice organizație care rulează ISE după termenul ratat, secvența este aceeași: patch fiecare nod acum, restricționați accesul de management între timp și rulați revizuirea log-urilor înainte de a declara incidentul închis.

Surse: Cisco Security Advisory, BleepingComputer, SOCRadar.