Il 16 settembre Cisco ha pubblicato un avviso d’emergenza per la CVE-2026-76460, una vulnerabilità con gravità 10, la massima, in Identity Services Engine (ISE) e in ISE Passive Identity Connector (ISE-PIC). La falla era già sfruttata prima della correzione. Cisco se n’è accorta nel modo meno rassicurante possibile: gestendo la richiesta di assistenza di un cliente. Lo stesso giorno le autorità statunitensi l’hanno aggiunta all’elenco delle vulnerabilità sfruttate, con tre giorni per correggerla.
Un’interfaccia API di ISE non applica controlli di autenticazione adeguati. Con una sola richiesta costruita ad arte, un attaccante senza credenziali aggira l’interfaccia di gestione web, entra nel dispositivo e, secondo Cisco, arriva a eseguire comandi come root. Il problema riguarda ISE e ISE-PIC con qualsiasi configurazione. Non c’è un’opzione da spegnere, non c’è una soluzione alternativa: c’è solo la patch.
Per ISE non è una novità. Nell’estate del 2025 altre due falle con gravità 10 nello stesso prodotto erano state sfruttate poche settimane dopo la correzione. Chi abbia condotto gli attacchi di questi giorni, e contro quanti clienti, Cisco non lo ha detto.
Il portiere della rete
ISE decide chi e che cosa può collegarsi alla rete aziendale. Autentica utenti e dispositivi, assegna le VLAN, applica le policy di accesso per cavo, Wi-Fi e VPN. Chi lo controlla può concedersi l’accesso, cambiare le regole per tutti e raccogliere informazioni e credenziali sull’intera infrastruttura.
Le versioni corrette sono la 3.1 Patch 12, la 3.2 Patch 11, la 3.3 Patch 12, la 3.4 Patch 7 e la 3.5 Patch 4. La 3.0 e le precedenti non sono più supportate e non riceveranno nulla, quindi vanno migrate a un ramo supportato, con priorità alta.
Installa subito la patch per la tua versione di ISE o ISE-PIC, e limita le interfacce di gestione e le API alle sole reti amministrative.
Poi verifica se sei già stato colpito, perché la falla è stata sfruttata prima che esistesse una correzione. Controlla account amministrativi, modifiche alle policy, certificati e configurazioni recenti, e cerca nei log chiamate API anomale. Se trovi segni di compromissione, cambia tutte le credenziali salvate in ISE, comprese quelle con cui si integra ad Active Directory e agli apparati di rete: chi è passato da lì le ha viste.
