Cisco ISE: patch disponibile per directory traversal CVE-2026-20148

Il 13 agosto 2026 TrendAI Zero Day Initiative ha reso pubblica l'advisory ZDI-26-582 su una vulnerabilità in Cisco Identity Services Engine, identificata come CVE-2026-20148. Cisco PSIRT non è a conoscenza di utilizzo malevolo della vulnerabilità al momento dell'advisory. La falla era stata segnalata al vendor il 18 dicembre 2025 da Jonathan Lein di TrendAI Research. Cisco aveva rilasciato aggiornamenti software il 28 aprile 2026. La disclosure coordinata rivela i dettagli tecnici: un attaccante remoto autenticato può leggere file arbitrari nel contesto dell'utente iseadminportal, senza possibilità di workaround alternativi.

Il meccanismo: come funziona la directory traversal in PatchUpdateListener

La falla si annida nel metodo PatchUpdateListener dell'interfaccia di gestione patch di Cisco ISE. Secondo l'advisory ZDI, il problema deriva dalla mancata validazione appropriata di un percorso fornito dall'utente prima del suo utilizzo in operazioni su file. In un'applicazione web correttamente protetta, il server dovrebbe sanificare e confinare ogni input che diventa parte di un path di filesystem. Qui quel controllo manca o è insufficiente.

Un attaccante autenticato può quindi manipolare il parametro di percorso per risalire la gerarchia delle directory del sistema operativo sottostante e accedere a file che non dovrebbero essere raggiungibili dall'interfaccia web. L'operazione avviene con i privilegi dell'utente iseadminportal, un account del sistema operativo dedicato al funzionamento del portale amministrativo.

Il record CVE ufficiale, pubblicato su cve.org, classifica la debolezza come CWE-22: "Improper Limitation of a Pathname to a Restricted Directory". Il vettore CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N conferma che l'attacco è remoto (AV:N), a bassa complessità (AC:L), ma richiede privilegi elevati (PR:H). L'impatto si limita alla confidenzialità (C:H), con assenza di effetti su integrità (I:N) e disponibilità (A:N).

"An attacker can leverage this vulnerability to disclose information in the context of the iseadminportal user." — Advisory ZDI-26-582

Autenticazione richiesta: il vettore e le credenziali

La barriera dell'autenticazione amministrativa riduce la superficie di attacco ma non la annulla. In ambienti enterprise, Cisco ISE gestisce il controllo degli accessi alla rete (NAC), l'integrazione con Active Directory, i profili dei dispositivi e le policy di sicurezza. Gli amministratori di questa piattaforma detengono una posizione privilegiata.

Cisco PSIRT dichiara di non essere a conoscenza di utilizzo pubblico o malevolo al momento della pubblicazione. Resta aperta la finestra di esposizione per le organizzazioni che non hanno ancora applicato gli aggiornamenti rilasciati il 28 aprile 2026.

L'assenza di workaround impone una valutazione severa del rischio: chi non può aggiornare immediatamente non dispone di compensazioni tecniche certificate dal vendor.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle fonti ufficiali:

• Verificare la versione installata di Cisco ISE/ISE-PIC. L'advisory Cisco indica "Earlier than 3.1" come versione da migrare a release fissate; le versioni intermedie specifiche non sono documentate nelle fonti disponibili.
• Pianificare l'aggiornamento al più presto: la dichiarazione di Cisco sull'inesistenza di workaround rende la patch l'unica mitigazione disponibile.

La disclosure coordinata: otto mesi dalla scoperta alla pubblicazione

La timeline documentata dall'advisory ZDI mostra un ciclo di disclosure strutturato: segnalazione il 18 dicembre 2025, pubblicazione coordinata il 13 agosto 2026. Cisco ha risposto con un advisory preliminare il 15 aprile 2026 e l'aggiornamento con patch il 28 aprile. Questa scansione temporale riflette la complessità di testare e distribuire correzioni in una piattaforma on-premise come ISE.

Il ritardo tra patch e disclosure pubblica completa ha un effetto duplice. Le organizzazioni che hanno aggiornato prima del 13 agosto 2026 non sono esposte ai dettagli tecnici ora pubblici. Chi ha ritardato l'applicazione delle patch affronta un rischio informato: la pubblicazione dell'advisory ZDI fornisce la descrizione tecnica del metodo vulnerabile.

Cosa non è noto

Le tre fonti primarie convergenti — advisory ZDI, record CVE, advisory Cisco — non documentano alcuni elementi rilevanti per la valutazione del rischio:

• Le versioni specifiche di Cisco ISE/ISE-PIC vulnerabili oltre all'indicazione generica "Earlier than 3.1".
• L'esistenza di proof-of-concept pubblico o exploit in-the-wild.
• L'entità esatta dei file leggibili o delle informazioni sensibili effettivamente esposte.
• Se la vulnerabilità sia stata sfruttata in attacchi reali prima della patch.
• I dettagli tecnici esatti della richiesta HTTP craftata (parametri, endpoint specifico).

Questi limiti derivano dalla natura delle fonti disponibili e non dalla mancanza di analisi. Le organizzazioni devono valutare il rischio sulla base dei fatti verificati: autenticazione richiesta, impatto su confidenzialità, assenza di workaround, patch disponibile dal 28 aprile 2026.

Il ricercatore Jonathan Lein di TrendAI Research è stato creditato per la scoperta. TrendAI Research è l'unità di ricerca vulnerabilità di Trend Micro, azienda che gestisce la Zero Day Initiative.

Fonti: Advisory ZDI-26-582 (Zero Day Initiative), CVE Record CVE-2026-20148 (cve.org), Cisco Security Advisory cisco-sa-ise-rce-traversal-8bYndVrZ.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-582/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-20148
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-rce-traversal-8bYndVrZ
• https://www.trendmicro.com/