Cisco a lansat patch-uri pentru o vulnerabilitate de ocolire a autentificării ISE exploatată în mod activ

Cisco a publicat remedieri pentru o vulnerabilitate de gravitate maximă în Identity Services Engine (ISE) și în ISE Passive Identity Connector, care permite unui atacator la distanță să ocolească autentificarea pe un punct final API. Conform raportului inițial, echipa proprie de răspuns la incidente a Cisco a confirmat exploatarea activă a vulnerabilității, iar CISA a adăugat problema în catalogul său de vulnerabilități exploatate cunoscute, stabilind un termen limită de trei zile pentru aplicarea patch-urilor de către agențiile federale din SUA. Nu există soluții alternative — actualizarea este singura măsură de remediere oferită de Cisco.

Ce s-a întâmplat

Vulnerabilitatea, identificată cu codul CVE-2026-76460, provine din controlul insuficient al autentificării la un punct final API al ISE. O cerere specială este suficientă pentru a accesa interfața de administrare web fără credențiale valide, iar raportul menționează că acest lucru funcționează indiferent de modul în care este configurat dispozitivul. Versiunile corectate sunt enumerate pe ramuri: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 și 3.5 Patch 4.

Cisco a publicat indicatori de compromitere și recomandă verificarea fișierului access.log de pe fiecare nod pentru a identifica nume de utilizator suspecte. În cazul în care se suspectează o compromitere, recomandarea este categorică: reinstalați sistemul de operare pe noduri și restaurați datele din copiile de rezervă. Deoarece o exploatare reușită poate duce la executarea de comenzi la nivel de root, atacatorii ar fi putut șterge urmele locale, astfel încât jurnalele firewall-ului și ale rețelei ar trebui verificate încrucișat pentru a depista transferuri neașteptate către sau de la adrese externe.

Aceasta face parte dintr-un lot mai mare. Raportul menționează că Cisco a remediat, cu o zi înainte, o a doua vulnerabilitate de gravitate maximă de ocolire a autentificării (CVE-2026-76423) și alte cinci probleme critice ale ISE; acestea nu sunt semnalate în prezent ca fiind exploatate. O vulnerabilitate zero-day similară a ISE din iulie 2025 a fost utilizată pentru a planta un web shell deghizat în componentă legitimă.

De ce este important

ISE nu este un sistem periferic. Acesta decide care utilizatori și dispozitive au acces la rețea, iar în multe organizații reprezintă punctul de aplicare din spatele unui model Zero Trust. O ocolire a autentificării în acest sistem nu expune doar un singur dispozitiv — ci subminează componenta în care au încredere celelalte mecanisme de control. Pentru echipele mai mici, problema practică este că astfel de dispozitive sunt adesea instalate o singură dată, integrate profund în sistem și apoi lăsate să funcționeze pe un ritm de întreținere anual. Acest ritm nu rezistă în fața unui exploit confirmat în mediul real.

A doua complicație o reprezintă dovezile. Accesul de root înseamnă că jurnalele locale nu pot fi considerate ca fiind de referință, așa că, dacă nu dispuneți de o soluție de păstrare a jurnalelor în afara dispozitivului, s-ar putea să nu puteți răspunde cu certitudine la întrebarea „am fost afectați?”. Acest lucru transformă o simplă sarcină de aplicare a patch-urilor într-o decizie mult mai costisitoare de reconstruire a sistemului.

Ce trebuie făcut

• Identificați fiecare nod ISE și ISE-PIC, inclusiv instanțele din laborator și cele de rezervă, și treceți la nivelul de patch-uri stabilit pentru sucursala dvs. Planificați întregul lot de remedieri critice într-o singură fereastră de lucru, nu doar acest CVE.
• Înainte sau în timpul actualizării, verificați fișierul access.log de pe fiecare nod în raport cu indicatorii publicați de Cisco și verificați jurnalele de firewall și de rețea pentru a depista traficul de ieșire neobișnuit provenit de la dispozitive.
• Asigurați-vă că dispuneți de copii de rezervă funcționale și testate, precum și de o procedură documentată de reinstalare a imaginii de sistem. Dacă activitatea pare suspectă, tratați reinstalarea din copia de rezervă ca opțiune implicită, nu ca soluție de rezervă.
• Verificați dacă interfețele de gestionare ale ISE și ale dispozitivelor similare nu sunt accesibile din rețele neîncredere și dacă jurnalele acestora sunt transmise către un sistem din afara dispozitivului propriu-zis.