Contexto da vulnerabilidade e impacto
A Cisco emitiu um aviso de segurança urgente para uma vulnerabilidade zero-day crítica no Cisco Identity Services Engine (ISE) e no Cisco ISE Passive Identity Connector (ISE-PIC). A falha, rastreada como CVE-2026-76460, possui pontuação máxima de CVSS 10.0 e permite que um atacante remoto não autenticado contorne a autenticação em sistemas afetados. A equipe de resposta a incidentes de segurança de produtos da Cisco (PSIRT) confirmou que a vulnerabilidade já está sendo explorada ativamente em ataques, o que eleva a urgência para as equipes de segurança e operações.
O problema reside em controles de autenticação insuficientes em um endpoint de API do Cisco ISE. Um atacante pode enviar uma solicitação especialmente elaborada para o endpoint vulnerável e obter acesso não autorizado, contornando a interface de gerenciamento baseada na web. Dado o papel central do ISE em redes corporativas para controle de acesso, autenticação de usuários e dispositivos e visibilidade de ativos conectados, um comprometimento bem-sucedido oferece um ponto de entrada de alto valor para ambientes de identidade e gerenciamento de rede.
Detalhes técnicos da exploração
A exploração da vulnerabilidade pode permitir que atores de ameaça obtenham execução de comando com privilégios de root em nós afetados do ISE. O acesso a nível de root fornece controle total sobre um nó ISE comprometido, permitindo que os atacantes alterem configurações, implantem ferramentas maliciosas, criem persistência, roubem credenciais ou utilizem o appliance como ponto de staging para movimento lateral dentro da rede corporativa. A vulnerabilidade afeta o Cisco ISE e o Cisco ISE-PIC independentemente da configuração do dispositivo.
É importante notar que a versão do Cisco ISE Software Release 3.0 também está exposta, mas atingiu o fim da manutenção de software. Organizações que utilizam a versão 3.0 devem migrar para uma versão suportada que inclua a correção de segurança. A Cisco liberou patches para versões suportadas da plataforma, sendo as versões corrigidas ISE 3.1 Patch 12, ISE 3.2 Patch 11, ISE 3.3 Patch 12, ISE 3.4 Patch 7 e ISE 3.5 Patch 4.
Medidas de mitigação e resposta
Os administradores devem identificar a versão implantada e atualizar para a versão corrigida apropriada o mais rápido possível. Para organizações que não conseguirem aplicar o patch imediatamente, a Cisco recomenda o uso de listas de controle de acesso de infraestrutura (iACLs) para limitar o tráfego de gerenciamento e plano de controle que alcança os dispositivos vulneráveis. Apenas sistemas essenciais e confiáveis devem ser permitidos para se comunicar com as interfaces de gerenciamento do Cisco ISE. No entanto, a Cisco enfatizou que essa mitigação é apenas temporária e não remove a vulnerabilidade subjacente.
Os administradores também devem investigar os sistemas em busca de sinais de exploração. A Cisco aconselhou revisar o arquivo access.log em busca de nomes de usuário suspeitos ou atividade de API inesperada. Em ambientes ISE distribuídos, verifique cada nó, pois um atacante pode visar qualquer nó acessível. A Cisco forneceu um exemplo de comando para revisar eventos suspeitos relacionados ao login: show logging application ise-kong/access.log | include dummyuser.
Investigação forense e recuperação
As equipes de segurança devem coletar pacotes de suporte com logs de depuração habilitados para acessar logs adicionais do gateway de API. A Cisco observou que as evidências em um dispositivo comprometido podem ser incompletas, pois atacantes com acesso de nível de root podem remover ou ocultar artefatos forenses. As organizações também devem examinar os logs de firewall e de rede fora do appliance afetado. Uploads inesperados de um nó ISE para endereços IP externos, downloads suspeitos e conexões de saída inexplicáveis podem indicar comprometimento.
Se uma atividade maliciosa for identificada ou fortemente suspeita, a Cisco recomenda reimaging dos nós ISE afetados e restaurando as configurações a partir de um backup conhecido como bom. A descoberta da vulnerabilidade ocorreu enquanto a equipe resolvia um caso de assistência técnica do Cisco Technical Assistance Center.
Implicações para governança de segurança
Este incidente reforça a necessidade de monitoramento contínuo de endpoints de gerenciamento de rede e a importância de manter o software atualizado. A exploração ativa de uma falha zero-day em um componente crítico de infraestrutura de rede destaca a necessidade de planos de resposta a incidentes robustos e capacidade de detecção de anomalias no tráfego de gerenciamento. CISOs devem priorizar a aplicação deste patch e revisar as políticas de acesso de rede para garantir que o tráfego de gerenciamento seja estritamente controlado.