Cisco ISE: patch di emergenza per zero-day con CVSS 10 sfruttato attivamente

Cisco ha rilasciato il 16 settembre 2026 patch di emergenza per CVE-2026-76460, una vulnerabilità di authentication bypass con punteggio CVSS massimo di 10.0 che colpisce Cisco Identity Services Engine (ISE) e ISE-PIC. Il Cisco PSIRT ha confermato che la falla è attivamente sfruttata in the wild da attori non identificati, rendendo il patching immediato l'unica via di mitigazione efficace. La gravità è tale che CISA ha inserito il CVE nel catalogo Known Exploited Vulnerabilities con obbligo di intervento entro tre giorni per le agenzie federali statunitensi.

Il meccanismo: come un API endpoint apre l'accesso root

La vulnerabilità risiede in insufficienti controlli di autenticazione su un API endpoint del web-based management interface di Cisco ISE. Un attaccante remoto non autenticato invia crafted requests che bypassano il meccanismo di autenticazione, ottenendo accesso non autorizzato. Cisco documenta che, una volta superato il controllo, l'attaccante ottiene command execution con privilegi root per la natura privilegiata del servizio compromesso.

La natura dell'API affetta non è dettagliata oltre la sua funzione di management; Cisco non ha pubblicato il percorso esatto dell'endpoint. Il dossier non specifica se l'exploit richieda esposizione diretta su Internet o sia sufficiente accesso di rete interna. Questa opacità, tipica delle prime ore di una advisory di emergenza, lascia aperti scenari di attacco sia da attori esterni che da minacce già presenti nella rete.

Perche il compromesso di ISE è particolarmente insidioso

Cisco ISE è progettato per essere il policy enforcement point dell'accesso aziendale: gestisce l'autenticazione 802.1X, il profiling dei dispositivi, l'assegnazione dinamica delle VLAN e le regole di accesso condizionato. Quando questo strato di controllo viene compromesso, l'attaccante non viola semplicemente un server: manipola l'infrastruttura che decide chi può accedere a cosa. Il Cisco Security Advisory annota esplicitamente che, grazie ai privilegi root ottenuti, i threat actor possono rimuovere o nascondere indicatori di compromissione, rendendo la scoperta forense significativamente più complessa.

Il caso si è originato durante la risoluzione di un ticket Cisco TAC, secondo quanto riporta la fonte, il che suggerisce che l'exploit attivo è emerso da un incidente reale piuttosto che da una segnalazione coordinata di ricerca. Questa genesi spiega la velocità della risposta vendor e l'assenza di workaround: Cisco ha privilegiato la disponibilità del fix rispetto alla ricerca di mitigazioni alternative.

"Upon successful exploitation of this vulnerability, threat actors may obtain command execution with root privileges. Because of this level of access, evidence of exploitation and indicators of compromise may be removed or hidden by the threat actors." — Cisco Security Advisory, v1.0, 2026-SEP-16

La pressione normativa: CISA impone tre giorni alle agenzie federali

CISA ha inserito CVE-2026-76460 nel Known Exploited Vulnerabilities catalog con l'etichetta "forensic triage required", attivando il Binding Operational Directive 26-04 che impone alle agenzie federali statunitensi di applicare la patch entro tre giorni. Questa accelerazione procedurale, riservata a vulnerabilità con exploit confermato e impatto critico su infrastrutture governative, segnala che la valutazione del rischio trascende la sfera enterprise per toccare asset sensibili a livello nazionale.

Il requisito di forensic triage è particolarmente rilevante: CISA non si limita a richiedere il patching, ma prescrive indagini sugli eventuali accessi sospetti precedenti all'applicazione della patch. Cisco ha fornito un indicatore specifico per questa attività: la presenza di username come "dummyuser" nei log di accesso. Il dossier non specifica la data esatta di inizio dell'exploit attivo, né quanti sistemi siano stati potenzialmente toccati prima della pubblicazione dell'advisory.

Versioni, patch e il vuoto dei workaround

Cisco ha reso disponibili patch per tutte le versioni supportate di ISE e ISE-PIC: 3.5 Patch 4, 3.4 Patch 7, 3.3 Patch 12, 3.2 Patch 11, 3.1 Patch 12. L'advisory dichiara esplicitamente che "there are no workarounds that address this vulnerability". L'unica misura di contenimento pre-patch documentata è l'implementazione di infrastructure ACLs (iACLs) per limitare il traffico verso l'interfaccia di management, una mitigazione parziale che riduce la superficie di attacco ma non elimina la vulnerabilità.

Per i nodi che mostrino segni di compromissione, Cisco raccomanda il re-imaging piuttosto della semplice applicazione della patch: questa indicazione, rara nelle advisory standard, riflette la consapevolezza che l'accesso root può avere lasciato modifiche persistenti indetectabili. Il dossier non specifica procedure di verifica per determinare se un nodo sia compromesso oltre alla ricerca manuale di indicatori nei log.

Perche e importante

Il brief non documenta azioni operative specifiche oltre al patching, all'uso di iACL e al controllo forense dei log per username sospetti. Il dossier non specifica se siano disponibili tool di scansione automatizzata per la rilevazione di compromissione, né fornisce timeline per il rilascio di eventuali aggiornamenti aggiuntivi. Non emergono informazioni su eventuali proof-of-concept pubblici o sulla distribuzione geografica degli attacchi osservati.

La fonte non dettaglia inoltre se la vulnerabilità sia stata introdotta in una specifica versione o sia presente fin dall'implementazione dell'API endpoint affetto, rendendo difficile stimare la durata della finestra di esposizione per le organizzazioni che non mantengono inventari aggiornati delle loro installazioni ISE.

L'incidente evidenzia una tensione strutturale nella cybersecurity enterprise: i sistemi che centralizzano il controllo identitario diventano, per questa stessa funzione, obiettivi di valore supremo. Il compromesso di ISE non è una violazione di perimetro ma un sovvertimento del meccanismo di decisione sull'accesso, con effetti a cascata difficili da contenere una volta innescati.

Fonti

• https://www.securityweek.com/active-exploitation-triggers-emergency-patch-for-cisco-ise-zero-day/
• https://thehackernews.com/2026/09/cisco-secure-email-gateway-flaw.html
• https://thehackernews.com/2026/09/attackers-exploit-issabel-framework.html
• https://radar.offseq.com/threat/active-exploitation-triggers-emergency-patch-for-cisco-ise-zero-day-d5bd452a61e0a8f8
• https://securityonline.info/cisco-ise-vulnerability-exploited/
• https://tech-insider.org/windows-netlogon-cve-2026-41089/
• https://www.cve.org/CVERecord?id=CVE-2026-89026
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/news-events/alerts/2026/09/14/cisa-adds-one-known-exploited-vulnerability-catalog

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti