Bypass di autenticazione in Cisco ISE sfruttato, applicare subito la patch

Il bypass di autenticazione di Cisco ISE è sfruttato attivamente, ha avvertito Cisco, e la vulnerabilità ha il punteggio di gravità più alto usato dall'azienda. Tracciata come CVE-2026-76460, ha un punteggio CVSS di 10.0 (CVSS, il Common Vulnerability Scoring System, è una scala di settore da 0 a 10 che valuta quanto è grave una vulnerabilità di sicurezza), e consente a un attaccante remoto non autenticato di aggirare l'autenticazione. In parole semplici, un attaccante che non possiede alcun account né password sul dispositivo può superarne il login da un altro punto della rete. Il prodotto interessato è Cisco Identity Services Engine (ISE), una piattaforma che le organizzazioni usano per decidere quali persone e quali dispositivi possono accedere alle loro reti, insieme a Cisco ISE Passive Identity Connector (ISE-PIC), un componente complementare che aiuta la stessa piattaforma a identificare gli utenti.

Cisco ha dichiarato che il problema deriva da un controllo di autenticazione insufficiente su un endpoint API. Un'API è l'interfaccia software che permette a un programma di comunicare con un altro, e in questo caso quell'interfaccia non verificava correttamente le identità. Secondo Cisco, un attaccante può sfruttare la vulnerabilità inviando una richiesta appositamente costruita a un endpoint API interessato, e uno sfruttamento riuscito può dare all'attaccante accesso non autorizzato al dispositivo aggirando la sua interfaccia di gestione basata sul web. Cisco ha affermato che il problema riguarda ISE e ISE-PIC indipendentemente da come è configurato il dispositivo, quindi non esiste un'impostazione particolare che protegga i clienti. Le correzioni sono state rilasciate nelle seguenti versioni: la versione 3.1 è corretta nella 3.1 Patch 12, la versione 3.2 nella 3.2 Patch 11, la versione 3.3 nella 3.3 Patch 12, la versione 3.4 nella 3.4 Patch 7, e la versione 3.5 nella 3.5 Patch 4. Cisco ha detto di essere a conoscenza di uno sfruttamento attivo e ha esortato i clienti ad aggiornare a una release software corretta per contrastare la minaccia. L'azienda non ha condiviso dettagli sulla natura degli attacchi che sfruttano la vulnerabilità, né su chi li porti avanti.

Come indicatori di compromissione, i segnali che un'intrusione potrebbe essere già avvenuta, Cisco raccomanda agli utenti di esaminare il file chiamato "access.log" e cercare nomi utente sospetti. Se il dispositivo fa parte di un deployment distribuito, cioè la configurazione è distribuita su più macchine che lavorano insieme, è essenziale esaminare i log di ogni nodo e non solo di uno. Cisco ha fornito il seguente comando per individuare nomi utente inattesi: admin#show logging application ise-kong/access.log | include dummyuser. La presenza di qualsiasi voce nell'output di quel comando probabilmente indica attività malevola, ha detto l'azienda. Se viene rilevata tale attività, si consiglia agli utenti di reimmaginare i nodi interessati, cioè cancellarli e installare una copia pulita del software, e di ripristinare da un backup di configurazione se necessario. Cisco ha anche avvertito che uno sfruttamento riuscito può dare agli attori delle minacce l'esecuzione di comandi con privilegi di root, il massimo livello di controllo su un sistema, e che a causa di quel livello di accesso le prove dello sfruttamento e gli indicatori di compromissione possono essere rimossi o nascosti dagli attaccanti.

Cisco ha sottolineato che non esistono workaround per questa vulnerabilità. Come mitigazione, che riduce l'esposizione senza correggere la vulnerabilità di fondo, i clienti possono usare le liste di controllo degli accessi dell'infrastruttura (iACL) per consentire solo il traffico di gestione e di control plane necessario e destinato al dispositivo interessato. In pratica, una iACL è un filtro che limita quali macchine possono raggiungere del tutto un'apparecchiatura di rete. Separatamente, la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto CVE-2026-76460 al suo catalogo Known Exploited Vulnerabilities (KEV) il 16 settembre 2026. Quel catalogo elenca vulnerabilità confermate come sfruttate in attacchi reali, e l'inserimento in esso richiede che le agenzie del Federal Civilian Executive Branch (FCEB) applichino le patch entro il 19 settembre 2026.

La divulgazione arriva solo pochi giorni dopo che Cisco ha dichiarato che una vulnerabilità critica che riguarda AsyncOS Software per Cisco Secure Email Gateway, tracciata come CVE-2026-76461 con un punteggio CVSS di 9.8, era finita sotto sfruttamento attivo. Insieme a CVE-2026-76460, Cisco ha distribuito correzioni per una serie di vulnerabilità di sicurezza critiche in tutta la sua gamma di prodotti, alcune delle quali sono misure di irrobustimento rilasciate nell'ambito di una revisione in corso. Delle 77 nuove CVE emesse mercoledì, 41 riguardano ISE e 28 riguardano il portafoglio Secure Firewall. Tra queste: CVE-2026-20176 (CVSS 9.9), CVE-2026-20211 (CVSS 9.1) e CVE-2026-20307 (CVSS 9.1) sono vulnerabilità di ISE che consentono a un attaccante remoto autenticato con credenziali amministrative valide di eseguire comandi arbitrari sul sistema operativo di un dispositivo. CVE-2026-76423 (CVSS 10.0) più CVE-2026-76424, CVE-2026-76425, CVE-2026-76426, CVE-2026-76427 e CVE-2026-76428 coprono debolezze di ISE e ISE-PIC che potrebbero consentire bypass di autenticazione sulla REST API, esecuzione di codice remoto, SQL injection e attacchi di XML External Entity injection. CVE-2026-20282 (CVSS 9.1), CVE-2026-20283 e CVE-2026-20284 riguardano SQL injection, modifica di dati ed esecuzione di comandi arbitrari su ISE, mentre CVE-2026-20305 e CVE-2026-20306 (entrambe CVSS 9.1) consentono command injection ed esecuzione di comandi come utente root per attaccanti in possesso di credenziali amministrative valide. Cisco Nexus Dashboard è interessato da CVE-2026-20322, CVE-2026-20325 (entrambe CVSS 9.9), CVE-2026-20326 (CVSS 9.8), CVE-2026-20360, CVE-2026-20361 e CVE-2026-76409, che potrebbero portare a command injection, bypass di autenticazione o autorizzazione e divulgazione di informazioni. Altre vulnerabilità di ISE e ISE-PIC sono CVE-2026-20130 e CVE-2026-20192 (entrambe CVSS 10.0), CVE-2026-20194 (CVSS 9.1), CVE-2026-20234 (CVSS 9.9), CVE-2026-20237 (CVSS 9.9) e CVE-2026-20287, con esiti simili: command injection, bypass di autenticazione o autorizzazione e divulgazione di informazioni.

Anche la gamma Secure Firewall ha ricevuto un grande lotto di correzioni. CVE-2026-20329, CVE-2026-20330 (entrambe CVSS 9.9), CVE-2026-20331 (CVSS 9.6), CVE-2026-20332 (CVSS 9.0) e CVE-2026-20333 fino a CVE-2026-20336 riguardano Cisco Secure Firewall Adaptive Security Appliance (ASA) Software, Cisco Secure Firewall Threat Defense (FTD) Software e Cisco Secure Firewall Management Center (FMC) Software, raggruppate per categoria di debolezza e riguardanti aree come la gestione impropria di condizioni eccezionali, il controllo di accesso improprio, l'aderenza impropria agli standard di codifica e il controllo improprio di una risorsa durante il suo ciclo di vita. CVE-2026-76412, CVE-2026-76413 e CVE-2026-76420 (CVSS 9.0) potrebbero consentire a un attaccante remoto di ottenere accesso root a FMC Software e di falsificare o impersonare sessioni. CVE-2026-20324 (CVSS 9.9) riguarda il protocollo di comunicazione tra dispositivi sftunnel di FMC Software e potrebbe consentire a un attaccante remoto autenticato di eseguire comandi arbitrari come root. CVE-2026-20340, CVE-2026-20341 (CVSS 9.1) e CVE-2026-20342 fino a CVE-2026-20344 riguardano FMC Software e potrebbero consentire accesso root, il download di file sensibili, SQL injection o una condizione di denial-of-service. CVE-2026-20242 (CVSS 9.8) riguarda la funzionalità External Database Access di FMC Software e potrebbe consentire a un attaccante remoto non autenticato di eseguire comandi arbitrari come root. Infine, CVE-2026-20353 (CVSS 9.8) e CVE-2026-76440, CVE-2026-76441, CVE-2026-76442 e CVE-2026-76443 (tutte CVSS 9.8) riguardano Cisco Secure Email Gateway e Cisco Secure Email and Web Manager, e potrebbero portare a path traversal, bypass di autenticazione o autorizzazione, consumo incontrollato di risorse e command injection. Nessuna di queste ultime vulnerabilità è stata elencata come sfruttata attivamente, ma la fonte degli avvisi sottolinea che gli utenti dovrebbero applicare le correzioni il prima possibile data la criticità delle debolezze e il fatto che offrono diverse vie per eseguire codice arbitrario.

Per i proprietari di siti web, i clienti di hosting e i team IT interni, la lezione pratica riguarda le apparecchiature che stanno silenziosamente davanti a tutto il resto. I sistemi di identità e accesso come Cisco ISE spesso decidono chi può raggiungere i server e i pannelli di amministrazione che gestiscono siti web e applicazioni aziendali, quindi un bypass su quello strato può mettere a rischio qualsiasi cosa ci sia dietro, indipendentemente dal fatto che quell'apparecchiatura sia di proprietà dello stesso team. Poiché non esiste un workaround per CVE-2026-76460, l'unica vera risposta è la patch del fornitore, seguita da un controllo dei log per i nomi utente sospetti descritti da Cisco e, dove si sospetta un'intrusione, da una ricostruzione dei nodi interessati da un'immagine pulita e un backup affidabile. I team che desiderano assistenza per questo tipo di irrobustimento, patching e revisione del controllo degli accessi possono guardare ciò che AEU-I elenca sul suo sito per IT, infrastruttura e consulenza orientati alla sicurezza, e valutare dai dettagli pubblicati se è adatto alla loro situazione.