Cisco ha segnalato una vulnerabilità CVSS 10.0 in Identity Services Engine (ISE) e ISE Passive Identity Connector (ISE-PIC), già sfruttata in attacchi attivi. Il difetto, identificato come CVE-2026-76460, può permettere a un aggressore remoto non autenticato di aggirare l’autenticazione e accedere senza autorizzazione al dispositivo.
Non sono disponibili workaround: la misura principale è installare la versione corretta del software. Cisco indica inoltre controlli sui log, perché dopo lo sfruttamento gli attaccanti potrebbero ottenere privilegi root e cancellare o nascondere le tracce dell’intrusione.
Come funziona il bypass dell’autenticazione
La vulnerabilità deriva da controlli di autenticazione insufficienti su un endpoint API. Inviando una richiesta appositamente costruita all’endpoint interessato, un attaccante potrebbe superare l’interfaccia web di gestione e ottenere accesso non autorizzato al sistema.
L’impatto non dipende dalla configurazione del dispositivo: sono coinvolti sia Cisco ISE sia ISE-PIC. Cisco ha confermato di essere a conoscenza di attività di sfruttamento, ma non ha diffuso dettagli sulla natura degli attacchi né sugli autori.
Il punto più delicato è il possibile livello di controllo successivo all’accesso. L’azienda avverte che un attacco riuscito può portare all’esecuzione di comandi con privilegi root, un livello di autorizzazione che può consentire anche di alterare le evidenze presenti sul sistema.
Le versioni da installare
La correzione è disponibile nelle seguenti release:
- Cisco ISE 3.1: Patch 12;
- Cisco ISE 3.2: Patch 11;
- Cisco ISE 3.3: Patch 12;
- Cisco ISE 3.4: Patch 7;
- Cisco ISE 3.5: Patch 4.
La raccomandazione di Cisco è passare a una di queste versioni corrette. In parallelo, come mitigazione temporanea, possono essere usate infrastructure access control lists (iACL) per consentire verso il dispositivo soltanto il traffico di gestione e control plane strettamente necessario. Non sostituiscono però l’aggiornamento.
Controlli nei log e risposta all’incidente
Cisco suggerisce di verificare il file access.log alla ricerca di nomi utente sospetti. In particolare, indica il comando show logging application ise-kong/access.log | include dummyuser per individuare la presenza del nome inatteso “dummyuser”.
Un risultato nel comando è considerato un probabile segnale di attività dannosa. Per i sistemi distribuiti, il controllo deve coprire i log di ogni nodo. Se emerge un’indicazione di compromissione, Cisco raccomanda di ricreare l’immagine dei nodi colpiti e, se necessario, ripristinare la configurazione da un backup.
La CISA ha inserito CVE-2026-76460 nel catalogo Known Exploited Vulnerabilities il 16 settembre 2026. Per le agenzie federali civili dell’esecutivo statunitense interessate, la scadenza indicata per applicare le patch è il 19 settembre 2026.
Altre correzioni nella stessa tornata
L’avviso arriva insieme a un ampio pacchetto Cisco: delle 77 nuove CVE pubblicate, 41 riguardano ISE e 28 il portafoglio Secure Firewall. Tra i difetti corretti figurano altri bypass dell’autenticazione, esecuzione remota di codice, command injection, SQL injection e problemi che possono esporre dati o causare denial-of-service.
La fonte non segnala sfruttamento attivo per queste ulteriori vulnerabilità. La loro gravità, però, e le diverse possibili strade verso l’esecuzione di codice arbitrario rendono prioritario pianificare l’installazione delle patch anche sugli altri prodotti coinvolti.
Domande frequenti
Quali prodotti sono interessati da CVE-2026-76460?
Il problema riguarda Cisco ISE e Cisco ISE Passive Identity Connector, indipendentemente dalla configurazione adottata.
Serve un account amministrativo per sfruttare questa falla?
No. CVE-2026-76460 può essere sfruttata da remoto senza autenticazione, attraverso una richiesta costruita verso l’endpoint API vulnerabile.
Esiste una soluzione alternativa alla patch?
Cisco non indica workaround. Le iACL possono limitare il traffico diretto ai dispositivi interessati, ma l’azienda invita a installare una release corretta.
Cosa fare se nei log compare “dummyuser”?
Cisco considera quella presenza un probabile indizio di attività malevola e consiglia di ricreare l’immagine dei nodi coinvolti, ripristinando la configurazione da backup se necessario.
Considerazioni finali
Una falla senza autenticazione, con punteggio massimo e sfruttamento attivo, va trattata come una priorità operativa e non come un aggiornamento ordinario. L’assenza di workaround rende ancora più netta la gerarchia degli interventi: contenere l’accesso di rete può ridurre l’esposizione, ma non elimina il difetto.
Il controllo dei log resta utile, ma il possibile accesso root limita la fiducia che si può riporre nelle sole tracce locali. Il dato decisivo è quindi la disponibilità delle patch per tutte le versioni interessate di Cisco ISE e ISE-PIC.
