Allarme Zero-Day Cisco ISE: vulnerabilità CVSS 10.0 in attivo sfruttamento
Cisco ha lanciato un avviso urgente su una vulnerabilità di massima gravità che colpisce l’Identity Services Engine (ISE) e il suo modulo Passive Identity Connector (ISE‑PIC). Identificata come CVE‑2026‑76460, questa falla ottiene il punteggio più alto possibile (CVSS 10.0) e permette a un aggressore non autenticato di aggirare l’autenticazione tramite una chiamata API manipolata. Cisco ha confermato che la vulnerabilità è già oggetto di attacchi in corso, sollecitando i clienti a installare immediatamente le patch rilasciate. L’impatto potenziale è devastante: accesso root al dispositivo, cancellazione di prove e compromissione dell’intera rete aziendale.
- CVE‑2026‑76460: CVSS 10.0, vulnerabilità di bypass autenticazione su API ISE.
- Sfruttamento attivo confermato, con indicazioni di compromissione di più nodi in deployment distribuiti.
- Impatto critico: esecuzione di comandi con privilegi root e possibile occultamento delle tracce.
Rilevanza Strategica: CRITICA
Contesto e gravità della vulnerabilità
L’Identity Services Engine di Cisco è una piattaforma chiave per il controllo degli accessi di rete, l’autenticazione degli utenti e la segmentazione dei dispositivi. La scoperta di una vulnerabilità che consente il bypass dell’autenticazione rappresenta una minaccia sistemica, perché ISE funge da punto di ingresso per la maggior parte dei sistemi di sicurezza perimetrale. CVE‑2026‑76460 sfrutta una debolezza nella gestione dei permessi su un endpoint API interno, consentendo a un attaccante di inviare richieste appositamente formattate senza alcuna credenziale valida. La vulnerabilità non dipende da configurazioni specifiche: tutti i dispositivi Cisco ISE e ISE‑PIC sono vulnerabili, indipendentemente dal livello di hardening applicato.
Il punteggio CVSS 10.0 riflette tre dimensioni chiave: la facilità di exploit (attacco remoto, nessuna autenticazione), la portata dell’impatto (compromissione completa del dispositivo) e la gravità delle conseguenze (esecuzione di comandi con privilegi di root, cancellazione di log). La CISA ha inserito il CVE nel catalogo KEV, imponendo alle agenzie federali di applicare le patch entro pochi giorni, segnale che la vulnerabilità è ritenuta una delle più pericolose dell’anno.
Meccanismo di sfruttamento e impatto operativo
L’attacco si basa sull’invio di una richiesta HTTP verso l’endpoint API vulnerabile, tipicamente “/admin/API/…”, con un payload che manipola i parametri di autenticazione. Poiché il controllo di accesso è incompleto, il server elabora la richiesta come se provenisse da un amministratore legittimo, consentendo il login senza credenziali. Una volta dentro, l’attaccante può sfruttare le funzionalità di gestione del dispositivo per modificare configurazioni di rete, creare account privilegiati o installare backdoor.
Cisco ha avvertito che gli aggressori potrebbero anche cancellare o nascondere le prove di compromissione, rendendo difficile la rilevazione post‑incidente. Gli indicatori di compromissione (IoC) consigliati includono la comparsa di username sospetti nei file “access.log” e l’esecuzione del comando “show authentication log | include
L’impatto operativo è duplice: da un lato, la perdita di controllo su ISE compromette la capacità di autenticare e autorizzare gli utenti, aprendo la porta a movimenti laterali all’interno della rete; dall’altro, la possibilità di eseguire comandi con privilegi di root consente la persistenza, l’esfiltrazione di dati sensibili e la manipolazione di altre infrastrutture critiche, inclusi sistemi di monitoraggio e SIEM.
Strategie di mitigazione e raccomandazioni operative
Cisco non ha fornito workaround, ma suggerisce misure di mitigazione temporanee basate su iACL (Infrastructure Access Control List) per limitare il traffico verso l’interfaccia di gestione dell’ISE solo da fonti autorizzate. Tale approccio riduce la superficie di attacco, ma non elimina il rischio di compromissione interna o di traffico legittimo manipolato. La soluzione definitiva è l’aggiornamento immediato alle versioni di software che includono la patch per CVE‑2026‑76460, disponibili per tutti i rami di prodotto ISE.
Le best practice consigliate includono:
1. **Patch management rapido** – Pianificare e completare l’upgrade entro le 24 ore dalla disponibilità, testando prima in ambienti di staging.
2. **Revisione dei log** – Automatizzare la raccolta dei file “access.log” da tutti i nodi ISE, filtrando per username non riconosciuti e per pattern di richiesta anomali.
3. **Hardening della rete** – Implementare iACL per consentire solo gli IP di amministrazione e i protocolli necessari (HTTPS, SSH) verso le interfacce di gestione.
4. **Backup e re‑image** – In caso di rilevamento di attività sospette, considerare la re‑immagine dei nodi compromessi e il ripristino da backup certificati, verificando l’integrità dei file di configurazione.
5. **Monitoraggio continuo** – Integrare ISE con soluzioni di threat detection basate su comportamento (UEBA) e con SIEM per correlare gli eventi di autenticazione con altri indicatori di compromissione.
Infine, le organizzazioni dovrebbero rivedere la loro strategia di identità runtime, adottando controlli di accesso basati su zero trust e micro‑segmentazione per limitare l’impatto di eventuali compromissioni future. L’uso di AI per l’analisi dei log può accelerare la scoperta di pattern anomali, ma è essenziale mantenere un governance rigorosa sui modelli e sui dati di addestramento, per evitare falsi positivi o manipolazioni da parte di attori malevoli.
In sintesi, la vulnerabilità CVE‑2026‑76460 rappresenta una delle più gravi minacce alla sicurezza di rete degli ultimi anni. La combinazione di exploit attivo, impatto root e capacità di occultamento delle tracce impone alle imprese di agire con prontezza, adottando un approccio multilivello che spazia dal patching immediato alla revisione delle politiche di accesso e al potenziamento del monitoraggio continuo. Solo così sarà possibile mitigare il rischio e preservare la resilienza delle infrastrutture critiche.
