Un bypass di autenticazione di gravità massima colpisce la stessa autorità di identità — Cisco ISE CVE-2026-76460 e lo schema ricorrente del compromesso root delle appliance di confine
Il bypass di autenticazione di Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) è sotto sfruttamento attivo. CISA lo ha aggiunto al catalogo KEV il 16 settembre con una scadenza di remediation federale al 19 settembre; non esiste un workaround e le iACL sono soltanto una mitigazione. Esaminiamo lo schema del compromesso root delle appliance di confine — in parallelo con lo zero-day del Secure Email Gateway (CVE-2026-76461) comunicato il 14 settembre — e che cosa significa quando i log della stessa appliance compromessa cessano di essere una fonte primaria.
Questo articolo è stato tradotto automaticamente.
Il 16 settembre 2026, Cisco ha comunicato CVE-2026-76460, una vulnerabilità di bypass dell'autenticazione in Cisco Identity Services Engine (ISE) e nell'ISE Passive Identity Connector, con il punteggio massimo CVSS 3.1 di 10.0. La causa radice è un controllo di autenticazione insufficiente su un endpoint API: un attaccante remoto non autenticato che invia una richiesta costruita ad hoc può aggirare l'autenticazione dell'interfaccia di gestione web e ottenere accesso non autorizzato al dispositivo. Cisco dice di essere «a conoscenza di sfruttamento attivo» ma non ha pubblicato chi ci sia dietro né che cosa gli intrusi abbiano fatto in seguito. Tutte le release dalla 3.1 fino alla 3.5 sono interessate indipendentemente dalla configurazione; le correzioni escono come 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. La versione 3.0, già oltre l'End of Software Maintenance, non ha un percorso di patch — la migrazione è l'unica via (advisory Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco dichiara in modo chiaro che «non esistono workaround che affrontino questa vulnerabilità», offrendo le ACL di infrastruttura (iACL) come mitigazione temporanea per restringere il traffico dei piani di gestione e di controllo alle sole sorgenti necessarie — una distinzione che conta, poiché le iACL riducono l'esposizione senza correggere l'endpoint vulnerabile. Sul rilevamento, Cisco avverte che uno sfruttamento riuscito può produrre esecuzione di comandi a livello root, il che significa che prove e IoC possono essere rimossi o nascosti dall'attaccante. Raccomanda di rivedere access.log su ogni nodo di un deployment distribuito — `show logging application ise-kong/access.log | include dummyuser` per far emergere nomi utente inattesi — e di ricreare l'immagine dei nodi e ripristinare dal backup di configurazione se compaiono voci malevole. CISA ha aggiunto il CVE al proprio catalogo KEV il 16 settembre, fissando una scadenza di remediation al 19 settembre per le agenzie federali (secondo The Hacker News e CISA).
Analisi (separata dai fatti): questo è il secondo incidente «dal piano di gestione pubblico a root» che Cisco ha condotto in parallelo questa settimana. Laddove lo zero-day del Secure Email Gateway CVE-2026-76461 (comunicato il 14 settembre) raggiunge root attraverso SQL injection nel codice di parsing, CVE-2026-76460 arriva attraverso un'API di gestione con autenticazione aggirata — porte diverse, stessa destinazione: compromesso totale di un'appliance di confine. ISE sta al centro delle decisioni di accesso alla rete aziendale, aggregando dati di identità, policy e controllo degli accessi; quando cade a root, l'intera catena di fiducia che sta dietro viene catturata insieme a essa. Secondo il conteggio di The CyberSec Guru, il lotto di settembre di Cisco copre 77 CVE (41 che toccano ISE, 28 Secure Firewall), incluso un distinto bypass di autenticazione dell'API REST di ISE con CVSS 10.0, CVE-2026-76423. Un lotto che mescola voci «attivamente sfruttate» e «nessuna prova di sfruttamento» è esso stesso un problema di triage.
Implicazioni difensive: (1) Se si opera ISE/ISE-PIC, applicare la patch corrispondente è il cambiamento di priorità più alta di questa settimana; le installazioni 3.0 che restano sono debito tecnico separato, senza percorso di correzione. (2) La restrizione iACL del piano di gestione vale la pena di farla subito, ma va registrata come mitigazione, non come remediation. (3) Non fare dipendere il rilevamento soltanto dai log della stessa appliance — affiancare la revisione di `dummyuser` alla cronologia esterna di firewall e NetFlow per il traffico da e verso ISE. (4) Se il compromesso root è in questione, verificare l'integrità della configurazione e della policy dell'appliance rispetto ai backup diventa un passo di recupero obbligatorio. I fatti qui attingono all'advisory di Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), al catalogo KEV di CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), a The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) e a The CyberSec Guru per le cifre di scala del lotto (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). L'analisi è tenuta separata dal resoconto.