Il 13 luglio 2026 CISA ha inserito CVE-2008-4128 nel suo Known Exploited Vulnerabilities Catalog, confermando lo sfruttamento attivo di una vulnerabilità Cross-Site Request Forgery risalente al 2008 su Cisco IOS 12.4. Le agenzie del Federal Civilian Executive Branch hanno avuto una finestra di remediation di tre giorni, con scadenza fissata al 16 luglio 2026. La decisione rivela come dispositivi di rete considerati stabili e relegati ai margini dei cicli di patch rimangano esposti a minacce obsolete ma efficaci.
- CISA ha aggiunto CVE-2008-4128 al KEV catalog il 13 luglio 2026, con scadenza di remediation per le agenzie federali al 16 luglio 2026.
- La vulnerabilità è una CSRF in Cisco IOS 12.4 sul router Cisco 871 Integrated Services Router, con endpoint specifici a privilege level 15.
- Il National Vulnerability Database assegna un CVSS 3.1 di 9.3 HIGH, sebbene il vettore CSRF con requisito di interazione utente renda il punteggio tecnicamente discutibile per questa categoria.
- CISA non ha determinato se la vulnerabilità sia impiegata in campagne ransomware; l'identità degli attori e la scala dell'exploitation restano sconosciute.
Il meccanismo: CSRF contro l'interfaccia HTTP di IOS 12.4
Il record CVE ufficiale descrive "multiple cross-site request forgery (CSRF) vulnerabilities in the HTTP Administration component in Cisco IOS 12.4 on the 871 Integrated Services Router". L'attacco sfrutta due endpoint dell'interfaccia web di gestione: il primo riceve un comando show privilege forgiato verso /level/15/exec/-, il secondo veicola un comando alias exec verso /level/15/exec/-/configure/http. Entrambi operano a privilege level 15, il livello amministrativo più elevato in IOS.
La natura CSRF implica che l'attaccante non necessita di credenziali proprie. Basta indurre un amministratore autenticato a visitare una pagina web malevola o eseguire una risorsa compromessa: il browser invia automaticamente la richiesta autenticata al dispositivo Cisco, che la esegue con i privilegi della sessione attiva. Secondo GBHackers, "because these endpoints operate at privilege level 15, successful exploitation may grant attackers full administrative control of an affected network device". La fonte non specifica se l'exploitation confermata abbia effettivamente portato a compromissioni complete o se sia stata contenuta a fasi iniziali.
Perché una vulnerabilità del 2008 torna nel 2026
Cisco IOS 12.4 è End-of-Life da oltre un decennio. Il suo mantenimento in produzione riflette una dinamica ricorrente nelle infrastrutture di rete: i dispositivi di routing, a differenza dei server o degli endpoint, vengono spesso considerati "stabili" e sottoposti a cicli di sostituzione più lunghi. L'aggiunta al KEV catalog smonta questa assunzione. Secondo CyberPress, la vulnerabilità ha 18 anni al momento dell'inserimento; la fonte sottolinea come il tempo trascorso non abbia ridotto la superficie di attacco, ma anzi l'abbia amplificata attraverso l'accumulo di sistemi mai decommissionati.
L'interfaccia HTTP di amministrazione, spesso abilitata per comodità remota, rappresenta il vettore primario. Il dossier non indica se Cisco abbia rilasciato aggiornamenti per versioni successive di IOS, né se l'hardware interessato sia ancora coperto da programmi di supporto esteso. Ciò che emerge è che la vulnerabilità non richiede exploit sofisticati: la CSRF è un pattern noto dal 2008, con tecniche di attacco documentate e replicabili.
La discrepanza sul CVSS e il criterio CISA
Il National Vulnerability Database registra CVE-2008-4128 con CVSS 3.1 di 9.3 HIGH, vettore AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N. Il punteggio è anomalo per una CSRF: l'impatto su integrità e disponibilità risulta nullo nel vettore ufficiale, sebbene la descrizione suggerisca esecuzione di comandi arbitrari. Questa incongruenza non è risolta nel dossier e potrebbe riflettere una valutazione iniziale ottimistica o una ricalibrazione successiva. CISA non utilizza il CVSS come unico criterio per l'inclusione nel KEV catalog: la presenza di "sfruttamento attivo in the wild" prevale su qualsiasi punteggio teorico.
L'advisory ufficiale di CISA del 13 luglio 2026 afferma che "this type of vulnerability is a frequent attack vector for malicious cyber actors and poses significant risks to the federal enterprise". La formulazione, generica rispetto ai dettagli tecnici, serve a giustificare l'inclusione accelerata senza rivelare indicatori di compromissione specifici.
"Multiple cross-site request forgery (CSRF) vulnerabilities in the HTTP Administration component in Cisco IOS 12.4 on the 871 Integrated Services Router allow remote attackers to execute arbitrary commands via (1) a certain 'show privilege' command to the /level/15/exec/- URI, and (2) a certain 'alias exec' command to the /level/15/exec/-/configure/http URI." — Record CVE-2008-4128
Cosa fare adesso
Per le organizzazioni con dispositivi Cisco legacy, l'urgenza dipende dalla presenza dell'interfaccia HTTP di gestione e dalla sua esposizione alla rete. Le azioni prioritarie emergono dai fatti documentati:
- Verificare la presenza di Cisco IOS 12.4 o versioni affini negli asset di rete, con particolare attenzione ai modelli 871 Integrated Services Router.
- Disabilitare l'interfaccia HTTP di amministrazione dove non essenziale, eliminando il vettore primario di attacco documentato nel record CVE.
- Limitare l'accesso alle interfacce di gestione a segmenti di rete trusted e monitorati, riducendo la probabilità che una richiesta CSRF raggiunga il dispositivo da origini non autorizzate.
- Pianificare la sostituzione dell'hardware End-of-Life, considerando che Cisco IOS 12.4 non riceve correttivi di sicurezza da anni.
Il debito tecnico che non si estingue
L'episodio CVE-2008-4128 non è un'anomalia isolata. Fonte 7 del dossier tratta un caso parallelo, CVE-2007-4816, anch'esso una vulnerabilità Cisco IOS legacy soggetta a sfruttamento recente: la convergenza di pattern suggerisce che il problema sia sistemico, non incidentale. Le infrastrutture di rete, per la loro natura di sistemi "sempre accesi" e raramente toccati, accumulano un debito di sicurezza che le policy di patch tradizionali non colgono.
La finestra di tre giorni concessa alle agenzie federali — dal 13 al 16 luglio 2026 — è la più stretta possibile entro i vincoli procedurali CISA. Non indica una minaccia imminente e catastrofica, ma la necessità di trattare con urgenza estrema ciò che altri contesti gestirebbero come technical debt. L'assenza di informazioni su attori, vittime e campagne associate impedisce di quantificare il rischio attuale; non altera il fatto che un bug di 18 anni abbia superato la soglia di rilevanza operativa per un'agenzia governativa statunitense.
Domande frequenti
Perché CISA inserisce nel KEV catalog vulnerabilità così datate?
Il criterio KEV non dipende dall'età della vulnerabilità, ma dalla conferma di sfruttamento attivo. CVE-2008-4128 soddisfa questo requisito nel 2026, probabilmente a seguito di rilevazioni su infrastrutture federali o segnalazioni di intelligence.
Il mio router Cisco è a rischio se non uso IOS 12.4?
Il record CVE specifica IOS 12.4 sul modello 871. Se il vostro dispositivo esegue una versione diversa o è un modello differente, la condizione documentata non si applica automaticamente. Il dossier non elenca altri CPE interessati.
Il CVSS 9.3 è attendibile per una CSRF?
Il valore 9.3 HIGH è quello ufficialmente registrato da NVD. La struttura del vettore CVSS:3.1 mostra impatti limitati su integrità e disponibilità, rendendo il punteggio tecnicamente discutibile per questa classe di vulnerabilità. CISA non utilizza il CVSS come criterio di inclusione KEV.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://securityaffairs.com/195262/security/u-s-cisa-adds-a-cisco-ios-flaw-to-its-known-exploited-vulnerabilities-catalog.html
- https://www.scworld.com/brief/cisa-adds-cisco-ios-flaw-to-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/news-events/alerts/2026/07/13/cisa-adds-one-known-exploited-vulnerability-catalog
- https://cyberpress.org/18-year-old-cisco-ios-vulnerability-exploited/
- https://www.escudodigital.com/en/cybersecurity/cybercriminals-exploit-cisco-vulnerability-patched-nearly-two-decades-ago.html
- https://gbhackers.com/cisa-adds-cisco-ios-csrf-flaw/
- https://www.cve.org/CVERecord?id=CVE-2008-4128
- https://nvd.nist.gov/vuln/detail/cve-2008-4128
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog