Una omisión de autenticación de gravedad máxima alcanza a la propia autoridad de identidad — Cisco ISE CVE-2026-76460 y el patrón recurrente de compromiso a root de appliances de perímetro
La omisión de autenticación de Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) está bajo explotación activa. CISA la añadió al catálogo KEV el 16 de septiembre, con un plazo federal de remediación del 19 de septiembre; no hay solución alternativa y las iACL son solo una mitigación. Examinamos el patrón de compromiso a root de los appliances de perímetro — en paralelo con el día cero de Secure Email Gateway (CVE-2026-76461), divulgado el 14 de septiembre — y qué significa que los propios registros de un appliance comprometido dejen de ser una fuente primaria.
Este artículo fue traducido por máquina.
El 16 de septiembre de 2026, Cisco reveló CVE-2026-76460, una vulnerabilidad de omisión de autenticación en Cisco Identity Services Engine (ISE) y en ISE Passive Identity Connector, con la puntuación máxima de CVSS 3.1 de 10.0. La causa raíz es un control de autenticación insuficiente en un endpoint de API: un atacante remoto no autenticado que envíe una solicitud elaborada puede omitir la autenticación de la interfaz web de gestión y obtener acceso no autorizado al dispositivo. Cisco dice que está «al tanto de la explotación activa», pero no ha publicado quién está detrás ni qué hicieron después los intrusos. Todas las versiones desde 3.1 hasta 3.5 se ven afectadas con independencia de la configuración; las correcciones se publican como 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4. La versión 3.0, ya pasada la fecha de End of Software Maintenance, no tiene vía de parche: la migración es la única ruta (aviso de Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco afirma con claridad que «no hay soluciones alternativas que aborden esta vulnerabilidad» y ofrece las ACL de infraestructura (iACL) como mitigación temporal para restringir el tráfico de los planos de gestión y de control únicamente a los orígenes necesarios: una distinción que importa, porque las iACL reducen la exposición sin corregir el endpoint vulnerable. Sobre la detección, Cisco advierte de que una explotación con éxito puede producir ejecución de órdenes a nivel de root, lo que significa que el atacante puede eliminar u ocultar la evidencia y los IoC. Recomienda revisar access.log en cada nodo de un despliegue distribuido — `show logging application ise-kong/access.log | include dummyuser` para hacer visibles nombres de usuario inesperados — y volver a instalar la imagen de los nodos y restaurar desde la copia de seguridad de la configuración si aparecen entradas maliciosas. CISA añadió el CVE a su catálogo KEV el 16 de septiembre y fijó un plazo de remediación del 19 de septiembre para las agencias federales (según The Hacker News y CISA).
Análisis (separado de los hechos): este es el segundo incidente de «plano de gestión público hasta root» que Cisco ha tenido en paralelo esta semana. Allí donde el día cero de Secure Email Gateway CVE-2026-76461 (divulgado el 14 de septiembre) llega a root mediante inyección SQL en el código de análisis, CVE-2026-76460 llega a través de una API de gestión con la autenticación omitida: puertas distintas, mismo destino, el compromiso total de un appliance de perímetro. ISE está en el centro de las decisiones de acceso a la red de la empresa y agrega datos de identidad, de política y de control de acceso; cuando cae a root, toda la cadena de confianza que hay detrás queda capturada con él. Según el recuento de The CyberSec Guru, el lote de septiembre de Cisco abarca 77 CVE (41 que tocan ISE, 28 que tocan Secure Firewall), incluida una omisión de autenticación aparte de la API REST de ISE con CVSS 10.0, CVE-2026-76423. Un lote que mezcla elementos «explotados de forma activa» y elementos «sin evidencia de explotación» es en sí mismo un problema de triaje.
Implicaciones para la defensa: (1) Si usted opera ISE/ISE-PIC, aplicar el parche correspondiente es el cambio de mayor prioridad de esta semana; las instalaciones 3.0 que permanecen son deuda técnica aparte, sin vía de corrección. (2) Restringir el plano de gestión con iACL merece hacerse de inmediato, pero regístrelo como mitigación, no como remediación. (3) No deje que la detección dependa únicamente de los propios registros del appliance: combine la revisión de `dummyuser` con el historial externo de firewall y de NetFlow del tráfico hacia ISE y desde ISE. (4) Si el compromiso a root está sobre la mesa, verificar la integridad de la configuración y de la política del appliance frente a las copias de seguridad pasa a ser un paso obligatorio de recuperación. Los hechos aquí se apoyan en el aviso de Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), el catálogo KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) y The CyberSec Guru para las cifras a escala de lote (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). El análisis se mantiene separado de la información.