Cisco corrige mais uma falha zero‑dia de alta gravidade

Cisco divulgou nesta quarta‑feira (17) uma falha crítica na plataforma Identity Services Engine (ISE) que permite bypass de autenticação e execução remota de comandos com privilégios de administrador. A vulnerabilidade, identificada como CVE‑2026‑76460, recebeu pontuação CVSS de 10,0, o máximo do sistema, e já está sendo explorada ativamente por atacantes não autenticados. A exploração não requer credenciais nem interação do usuário, podendo comprometer qualquer versão vulnerável do ISE ou do Passive Identity Connector (ISE‑PIC), independentemente das configurações adotadas.

A falha reside em um ponto final de API da solução de controle de acesso à rede da Cisco. Um atacante pode enviar uma requisição especialmente elaborada para contornar a interface de gerenciamento baseada em web, obtendo acesso de root e, assim, removendo ou ocultando vestígios de invasão. A Cisco alertou que tal acesso pode dificultar a investigação de incidentes, pois permite apagar rastros de atividade maliciosa.

Em resposta, a equipe de resposta a incidentes de segurança da Cisco recomenda que administradores revisem os logs de acesso à ISE em busca de nomes de usuário suspeitos em todos os nós de um deployment distribuído e analisem logs de rede e firewall que estejam fora do dispositivo afetado para identificar uploads ou downloads inesperados. Caso haja indícios de exploração, a prática recomendada é reimager os nós comprometidos e restaurar suas configurações a partir de backups, se necessário. Não há workaround permanente; entretanto, políticas de acesso de infraestrutura podem ser temporariamente aplicadas para restringir tráfego de gerenciamento e plano de controle nas máquinas vulneráveis.

Os patches corretivos já estão disponíveis nas versões 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. O ISE 3.0 chegou ao fim da manutenção, exigindo migração para versões suportadas. A Cisco ainda não divulgou detalhes sobre quem está explorando a vulnerabilidade, a duração dos ataques ou as ações realizadas pelos invasores após o acesso. A empresa acrescentou a falha ao catálogo de vulnerabilidades exploradas ativamente da CISA, reforçando a urgência da correção.