Una vulnerabilità di command injection nel metodo invokeScript di Cisco Identity Services Engine (ISE) consente a un attaccante remoto autenticato di eseguire codice arbitrario nel contesto dell'utente iseadminportal, con possibile escalation a privilegi di root. La release coordinata dell'advisory è datata 13 agosto 2026: il gap tra la scoperta, avvenuta il 18 dicembre 2025, e la pubblicazione ufficiale sottolinea la complessità del fix in un prodotto di controllo accessi di rete distribuito su larga scala.
- La vulnerabilità CVE-2026-20147 risiede nel metodo invokeScript di Cisco ISE, dove l'input utente non viene validato prima di una system call
- L'attaccante deve disporre di credenziali amministrative valide: l'exploit avviene in sessione autenticata
- L'esecuzione iniziale avviene come utente iseadminportal, con percorso documentato verso privilege escalation a root secondo il vendor advisory
- In deployment single-node, l'exploit causa indisponibilità del nodo e impossibilità di autenticazione per nuovi endpoint
Il meccanismo: input non validato concatenato a system call
Secondo l'advisory ZDI-26-581, la falla specifica esiste nell'implementazione del metodo invokeScript:
"The specific flaw exists within the implementation of the invokeScript method. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call."
L'architettura di ISE prevede che invokeScript esegua operazioni di amministrazione sul sistema sottostante. La mancata validazione consente di iniettare metacaratteri o comandi shell nell'input utente, che vengono poi interpretati dal sistema operativo. Questo pattern di command injection è particolarmente pericoloso in piattaforme NAC (Network Access Control) dove il confine tra interfaccia di gestione e kernel è funzionalmente permeabile.
ZDI specifica che l'esecuzione avviene nel contesto dell'utente iseadminportal, un account di servizio con privilegi significativi sull'applicazione, sebbene non immediatamente equivalenti a root. Il percorso di escalation, documentato da Cisco, trasforma questa condizione in un compromissione completa del sistema.
Da user a root: il percorso di escalation documentato
L'advisory Cisco aggiunge un tassello critico rispetto alla pubblicazione ZDI. Secondo il vendor, un exploit riuscito consente all'attaccante di:
"obtain user-level access to the underlying operating system and then elevate privileges to root"
Questa affermazione, presente nel testo ufficiale, modifica la lettura del rischio. Un RCE autenticato con privilegi applicativi limitati rimane contenibile; lo stesso meccanismo con percorso verificato a root compromette l'intero host e, per estensione, le policy di accesso gestite dal nodo ISE.
Il CVSS 3.1 vector conferma questa severità: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. La componente S:C (Scope Changed) è particolarmente rilevante: l'impatto supera i confini del componente vulnerabile, estendendosi all'intero sistema operativo sottostante e potenzialmente ad altri nodi della distribuzione.
Single-node: quando il DoS diventa criticità operativa
Una dimensione spesso trascurata delle advisory RCE è l'effetto collaterale su disponibilità. Cisco specifica che in deployment single-node:
"successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a denial of service (DoS) condition"
La combinazione RCE + DoS in un'architettura single-node elimina la ridondanza che altrimenti consentirebbe failover. Le organizzazioni con deployment di questo tipo — sparto SMB o filiali remote — non subiscono solo un breach ma una paralisi dell'onboarding di nuovi endpoint sulla rete. Il NAC, per definizione, è un componente in-line: quando cade, la gestione dell'accesso si interrompe.
Autenticazione come prerequisito: minore ma non mitigazione
La requirement di credenziali amministrative (PR:L nel vector) ha alimentato letture ottimistiche. È un errore. Cisco ISE è un sistema di controllo accessi: i suoi amministratori sono figure con visibilità su policy di rete, identità, posture, guest services. La compromissione di queste credenziali avviene attraverso tecniche ben documentate — phishing mirato, social engineering, credential stuffing, o movimento laterale da endpoint precedentemente compromessi — non richiedendo necessariamente un attacco diretto al prodotto.
Il brief non documenta exploitation in-the-wild: Cisco PSIRT non è a conoscenza di annunci pubblici o uso malevolo confermato al momento dell'advisory. Questo limite non stabilisce assenza di rischio ma semplicemente assenza di conferma formale.
Cosa fare adesso
Quattro azioni prioritarie, tutte derivanti dai fatti documentati nelle fonti:
- Applicare gli aggiornamenti software rilasciati da Cisco: il vendor ha reso disponibili patch; non esistono workaround alternativi
- Verificare la release ISE in uso: le versioni precedenti alla 3.1 richiedono migrazione a release fixed; ISE-PIC è end-of-sale e non riceve aggiornamenti
- Rivizuare l'accesso amministrativo: controllare quali account dispongono di credenziali valide sui nodi ISE, con particolare attenzione a account condivisi o servizi
- Valutare l'architettura di deployment: i nodi single-node esposto presentano rischio di indisponibilità oltre al compromissione; pianificare ridondanza dove tecnicamente fattibile
La parabola del NAC compromesso
Il controllo accessi di rete è progettato per essere il guardiano del perimetro interno. Quando il guardiano stesso ospita una falla che consente RCE con percorso a root, la gerarchia della fiducia si inverte: l'infrastruttura che autentica diviene il vettore di compromissione. La metrica CVSS 9.9 non è esagerazione ma conseguenza logica di S:C — l'escalation dello scope — applicata a un componente così centrale.
La lezione tecnica è nel dettaglio dell'implementazione: un metodo amministrativo (invokeScript) che esegue system call senza sanificazione dell'input. La lezione operativa è nella gestione delle credenziali che proteggono questo metodo. Entrambe richiedono attenzione immediata.
FAQ
Il CVSS numerico è confermato oltre al vector?
Il vector CVSS:3.1 è documentato da Cisco; il punteggio numerico esplicito non è riportato nel testo estratto delle fonti disponibili.
Esistono proof-of-concept pubblici?
Il dossier non contiene riferimenti a PoC disponibili; ZDI non ha pubblicato dettagli di payload nell'advisory rilasciato.
ISE-PIC è vulnerabile?
Cisco include ISE-PIC nell'advisory della stessa famiglia di prodotti, ma il prodotto è in end-of-sale e non riceve correzioni: richiede sostituzione o migrazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-581/
- https://www.cve.org/CVERecord?id=CVE-2026-20147
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-rce-traversal-8bYndVrZ
- https://www.trendmicro.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.