Cisco ha pubblicato il 13 agosto 2026 il coordinato rilascio dell'advisory per CVE-2026-20147, una command injection nel metodo invokeScript di Identity Services Engine. La vulnerabilità permette a un attaccante remoto con credenziali amministrative di eseguire codice arbitrario, ottenere accesso al sistema operativo sottostante e innalzare i privilegi a root. Il punteggio CVSS 9.9 CRITICAL del record ufficiale — contro il 7.2 segnato dall'elenco TrendAI Zero Day Initiative — rivela una catena di exploit più estesa di quanto la classificazione iniziale lasciasse intendere.
- La command injection risiede nel metodo
invokeScriptdi Cisco ISE, con mancata validazione di input utente prima di system call - L'exploit richiede autenticazione amministrativa, ma consente esecuzione come
iseadminportalcon percorso documentato a privilegiroot - Il CVE record ufficiale assegna CVSS 9.9 CRITICAL, mentre l'elenco ZDI pubblicato riporta 7.2: le due fonti divergono sulla valutazione complessiva dell'impatto
- In deployment single-node, l'exploit può causare indisponibilità del nodo con conseguente DoS per endpoint non ancora autenticati
Il meccanismo: perché invokeScript è diventato un vettore di RCE
La specifica falla esiste nell'implementazione del metodo invokeScript. Il problema deriva dalla mancata validazione di una stringa fornita dall'utente prima del suo utilizzo per eseguire una system call. Questa lacuna trasforma un'operazione apparentemente ordinaria in un canale di command injection controllabile da remoto.
L'autenticazione è condizione necessaria: l'attaccante deve disporre di credenziali amministrative valide. Una volta superato questo controllo, la vulnerabilità consente di eseguire codice nel contesto dell'utente iseadminportal. Dal record CVE e dall'advisory Cisco emerge che l'attaccante ottiene "user-level access to the underlying operating system" e successivamente "elevate privileges to root". Il percorso completo è documentato, non inferito: autenticazione, command injection, esecuzione nel contesto del servizio, escalation locale.
Il vettore di attacco è di tipo remoto — network attack vector — con complessità di attacco bassa e requisito di privilegi limitati (amministratore del prodotto, non del sistema operativo). Il campo Scope del CVSS ufficiale è marcato Changed: l'impatto supera il confine del componente vulnerabile, estendendosi all'host sottostante.
La discrepanza CVSS: 9.9 contro 7.2, due letture dello stesso bug
Il record CVE-2026-20147 assegna un punteggio di 9.9 con severità CRITICAL, vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. L'elenco ZDI pubblicato riporta invece 7.2 per lo stesso identificativo. La distanza tra i due valori non è marginale: segna il confine tra una vulnerabilità grave e una criticità massima.
La spiegazione risiede probabilmente nella diversa valutazione dell'escalation e dello scope. Il record CVE integra esplicitamente la possibilità di ottenere accesso al sistema operativo e innalzare i privilegi a root, elemento che innalza Confidentiality, Integrity e Availability al massimo (H/H/H) con scope changed. L'elenco ZDI, privo di dettagli tecnici estesi, presenta un punteggio più conservativo che non riflette la catena completa. Per le organizzazioni che si affidano al CVSS per la prioritizzazione, il numero ufficiale del record CVE — 9.9 — è quello vincolante.
"An attacker could exploit this vulnerability by sending a crafted HTTP request to an affected device. A successful exploit could allow the attacker to obtain user-level access to the underlying operating system and then elevate privileges to root."
Il profilo del rischio: NAC compromesso, perimetro interno aperto
Cisco Identity Services Engine è il cuore del Network Access Control in grandi infrastrutture enterprise: governa l'autenticazione dei dispositivi, l'assegnazione delle VLAN, le policy di compliance. Una RCE con root su questo componente non è una compromissione laterale: è una conquista della console che definisce chi può entrare in rete.
Il requisito di credenziali amministrative non costituisce una barriera sufficiente. Gli insider con accesso legittimo, gli account admin compromessi tramite phishing o password reuse, le sessioni di elevazione abusate: tutti questi scenari rimuovono il filtro dell'autenticazione senza necessitare di un attacco iniziale esterno alla macchina. Inoltre, il possibile DoS su deployment single-node aggiunge un rischio operativo concreto: un nodo ISE non ridondante che diventa indisponibile interrompe l'onboarding di nuovi endpoint, con effetto a cascata sulla connettività aziendale.
Cisco PSIRT, nella propria advisory, dichiara di non essere a conoscenza di utilizzo pubblico o malevolo della vulnerabilità al momento della pubblicazione. Questo non esclude analisi private o exploit in circolazione non rilevati.
Cosa fare adesso
- Verificare la versione installata di Cisco ISE: le release precedenti alla 3.1 sono vulnerabili, con fix disponibili nell'advisory ufficiale Cisco
- Applicare gli aggiornamenti software rilasciati dal vendor: non esistono workaround alternativi documentati per questa vulnerabilità
- Rivedere l'accesso amministrativo a ISE, privilegiando account con scope limitato e monitorando le sessioni di elevazione
- Valutare la ridondanza del deployment: l'assenza di nodi secondari espone a DoS in caso di exploit riuscito
Il silenzio sull'escalation: ciò che Cisco non dettaglia
L'advisory Cisco e il record CVE affermano entrambi che l'attaccante può elevare i privilegi a root, ma nessuna delle fonti disponibili specifica il meccanismo locale utilizzato. Non emerge se si tratti di una seconda vulnerabilità nel sistema operativo sottostante, di una configurazione errata dei permessi del servizio iseadminportal, o di un'altra via di privilege escalation nota ma non mitigata.
Questa omissione è rilevante per due motivi. Primo: senza conoscere il meccanismo, è impossibile valutare se la stessa escalation si applichi ad altri vettori di accesso o a scenario post-exploitation diversi. Secondo: il campo Scope: Changed del CVSS 9.9 presuppone che l'impatto superi i confini del componente vulnerabile, ma la documentazione non chiarisce se la patch Cisco intervenga solo sulla validazione input in invokeScript o anche sui permessi del contesto di esecuzione. Il dossier non specifica lo scope completo della correzione.
Resta inoltre non documentato l'impatto differenziato tra ISE standard e ISE-PIC (Passive Identity Connector), entrambi citati nell'advisory Cisco ma senza dettaglio sulle versioni specifiche intermedie affette.
L'adozione del punteggio CVE 9.9 da parte delle security team enterprise è la scelta prudente. La distanza dal 7.2 ZDI non è un errore di classificazione: è la misura di una catena di exploit che l'advisory TrendAI ha presentato in forma compatta, mentre il record ufficiale ha esplicitato nella sua interezza.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-581/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-20147
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-rce-traversal-8bYndVrZ
- https://www.trendmicro.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.