Um bypass de autenticação de severidade máxima atinge a própria autoridade de identidade — Cisco ISE CVE-2026-76460 e o padrão recorrente de comprometimento root de appliances de fronteira
O bypass de autenticação CVE-2026-76460 (CVSS 10.0) do Cisco ISE / ISE-PIC está sob exploração ativa. A CISA adicionou-o ao catálogo KEV em 16 de setembro, com prazo federal de remediação de 19 de setembro; não há workaround, e as iACLs são apenas uma mitigação. Examinamos o padrão de comprometimento root de appliances de fronteira — em paralelo com o zero-day do Secure Email Gateway (CVE-2026-76461), divulgado em 14 de setembro — e o que significa quando os logs do próprio appliance comprometido deixam de ser uma fonte primária.
Este artigo foi traduzido por máquina.
Em 16 de setembro de 2026, a Cisco divulgou CVE-2026-76460, uma vulnerabilidade de bypass de autenticação no Cisco Identity Services Engine (ISE) e no ISE Passive Identity Connector, com a pontuação máxima CVSS 3.1 de 10.0. A causa raiz é um controle de autenticação insuficiente num endpoint de API: um atacante remoto sem autenticação, ao enviar um pedido elaborado, pode contornar a autenticação da interface web de gestão e obter acesso não autorizado ao dispositivo. A Cisco diz estar 'ciente de exploração ativa', mas não publicou quem está por trás nem o que os intrusos fizeram depois. Todas as releases de 3.1 a 3.5 são afetadas, independentemente da configuração; as correções saem como 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. A versão 3.0, já além do End of Software Maintenance, não tem caminho de correção — a migração é a única via (advisory da Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
A Cisco afirma com clareza que 'não existem workarounds que resolvam esta vulnerabilidade', e oferece ACLs de infraestrutura (iACLs) como mitigação temporária para restringir o tráfego de management plane e de control plane apenas às origens necessárias — distinção que importa, pois as iACLs reduzem a exposição sem corrigir o endpoint vulnerável. Quanto à detecção, a Cisco adverte que uma exploração bem-sucedida pode dar execução de comandos ao nível de root, o que significa que evidências e IoCs podem ser removidos ou ocultados pelo atacante. Recomenda rever access.log em cada nó de uma implantação distribuída — `show logging application ise-kong/access.log | include dummyuser` para revelar usernames inesperados — e refazer a imagem dos nós e restaurar a partir do backup de configuração se aparecerem entradas maliciosas. A CISA adicionou o CVE ao seu catálogo KEV em 16 de setembro, fixando o prazo de remediação de 19 de setembro para as agências federais (conforme The Hacker News e a CISA).
Análise (separada do relato factual): este é o segundo incidente de 'management plane público até root' que a Cisco conduz em paralelo nesta semana. Onde o zero-day do Secure Email Gateway, CVE-2026-76461 (divulgado em 14 de setembro), chega a root por SQL injection no código de parsing, CVE-2026-76460 chega por uma API de gestão com a autenticação contornada — portas diferentes, o mesmo destino: comprometimento total de um appliance de fronteira. O ISE está no centro das decisões de acesso à rede da empresa, e agrega dados de identidade, de política e de access control; quando cai para root, toda a cadeia de confiança por trás dele é capturada junto. Segundo a contagem de The CyberSec Guru, o lote de setembro da Cisco abrange 77 CVEs (41 que tocam o ISE, 28 o Secure Firewall), incluindo um bypass de autenticação separado da REST API do ISE, de CVSS 10.0, CVE-2026-76423. Um lote que mistura itens 'explorados ativamente' e itens 'sem evidência de exploração' é, por si, um problema de triagem.
Implicações defensivas: (1) Se operar ISE/ISE-PIC, aplicar o patch correspondente é a mudança de maior prioridade desta semana; instalações 3.0 que permanecem são dívida técnica à parte, sem caminho de correção. (2) Restringir o management plane por iACL vale a pena de imediato, mas documente isso como mitigação, não como remediação. (3) Não deixe a detecção depender só dos logs do próprio appliance — junte a revisão de `dummyuser` ao histórico externo de firewall e de NetFlow do tráfego de e para o ISE. (4) Se o comprometimento root estiver em causa, verificar a integridade da configuração e da política do appliance contra os backups passa a ser um passo obrigatório de recuperação. Os dados factuais aqui apoiam-se no advisory da Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), no catálogo KEV da CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), em The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) e em The CyberSec Guru para os números da escala do lote (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). A análise é mantida separada do relato.