Cisco alerta para exploração ativa de falha crítica no Identity Services Engine
A Cisco confirmou que uma vulnerabilidade de gravidade máxima está sendo explorada por invasores contra o Cisco Identity Services Engine (ISE) e o Cisco ISE Passive Identity Connector. Registrada como CVE-2026-76460, a falha recebeu pontuação CVSS 10.0, o nível mais alto da escala, e exige resposta imediata das organizações que utilizam essas plataformas.
O alerta de segurança foi publicado pela Cisco em 16 de setembro. Segundo a empresa, o problema está relacionado a um mecanismo de bypass de autenticação em um endpoint de API. Na prática, um atacante remoto, sem credenciais válidas, pode enviar uma requisição especialmente elaborada e acessar funções protegidas do sistema sem passar pelo processo normal de autenticação.
O Cisco ISE é usado para controlar o acesso à infraestrutura de rede. A solução permite definir quais usuários, computadores, dispositivos móveis e outros endpoints podem se conectar aos recursos corporativos. Por isso, uma invasão bem-sucedida pode comprometer políticas de acesso, informações de identidade e mecanismos de segmentação da rede.
A vulnerabilidade afeta o Cisco ISE e o Cisco ISE Passive Identity Connector, independentemente da configuração aplicada ao equipamento. O acesso indevido ocorre por meio de uma interface de API, sem depender necessariamente da interface web de administração. Esse aspecto amplia o risco, especialmente em ambientes nos quais componentes de gerenciamento estão acessíveis a partir de redes menos confiáveis.
Possibilidade de execução de comandos como root
Além de permitir acesso não autorizado, a falha pode possibilitar a execução de comandos com privilégios de root. Esse nível de permissão dá ao invasor controle amplo sobre o sistema operacional e pode permitir alterações na configuração, criação de contas, instalação de ferramentas maliciosas, coleta de dados e movimentação lateral pela rede.
A Cisco informou que não existe uma solução alternativa capaz de eliminar o problema. A principal medida temporária recomendada é aplicar listas de controle de acesso de infraestrutura para limitar o tráfego de gerenciamento e controle destinado aos dispositivos afetados. Essa barreira deve ser tratada apenas como mitigação, não como substituta da atualização oficial.
A fabricante já disponibilizou versões de software corrigidas e orienta os clientes a atualizar os sistemas conforme as versões indicadas no aviso de segurança. Como a exploração já foi observada em ataques reais, a correção deve ser priorizada mesmo em ambientes que não apresentem sinais evidentes de comprometimento.
Como investigar possível invasão
A Cisco recomenda que a investigação não fique restrita ao próprio appliance. Como um invasor com privilégios elevados pode apagar ou modificar registros locais, as equipes de segurança devem consultar logs armazenados em firewalls, roteadores, sistemas de monitoramento e plataformas externas de correlação de eventos.
Também é necessário revisar o arquivo `access.log` em todos os nós da implantação. A análise deve buscar nomes de usuário incomuns, requisições inesperadas, acessos realizados fora do horário habitual, alterações administrativas não planejadas e conexões originadas de endereços IP que normalmente não interagem com o ambiente.
Outros indicadores relevantes incluem mudanças repentinas em políticas de acesso, novos administradores, processos desconhecidos, tarefas agendadas, arquivos alterados e conexões de saída para destinos não reconhecidos. A comparação com backups e registros históricos pode ajudar a identificar modificações feitas após a exploração.
O que fazer diante de indícios de comprometimento
Se houver evidências de atividade maliciosa, a recomendação é isolar os nós afetados e preservar os registros disponíveis para análise. A Cisco orienta reinstalar os equipamentos comprometidos e restaurá-los a partir de um backup confiável da configuração, em vez de simplesmente remover arquivos ou tentar corrigir manualmente o sistema invadido.
Antes da restauração, a organização deve validar a integridade do backup. Uma cópia realizada depois da invasão pode conter alterações persistentes, contas ocultas ou configurações manipuladas. Também é importante revisar credenciais utilizadas pelo ISE, especialmente senhas administrativas, chaves de integração e contas com acesso privilegiado.
A equipe responsável deve avaliar se o comprometimento atingiu apenas o servidor do ISE ou se avançou para outros segmentos da infraestrutura. Como a plataforma participa diretamente das decisões de autenticação e autorização, o incidente pode ter impacto sobre servidores, estações de trabalho, dispositivos de rede e sistemas corporativos conectados.
Prioridades para administradores
O primeiro passo é identificar todas as instâncias do Cisco ISE e do Passive Identity Connector existentes no ambiente. Em seguida, é preciso confirmar a versão instalada, verificar se há exposição de interfaces de gerenciamento e restringir o acesso externo enquanto a atualização é planejada.
A aplicação do patch deve ocorrer de forma controlada, considerando a arquitetura de alta disponibilidade e a dependência de outros serviços de autenticação. É recomendável executar a mudança em uma janela monitorada, validar os nós após o procedimento e confirmar se as políticas de acesso continuam funcionando corretamente.
Organizações que utilizam ferramentas de detecção e resposta devem criar consultas específicas para localizar acessos aos endpoints vulneráveis, tentativas anormais de autenticação e atividades administrativas iniciadas por usuários desconhecidos. A centralização dos eventos facilita a identificação de padrões que podem passar despercebidos em logs isolados.
A Cisco também relembrou que vulnerabilidades anteriores do ISE, incluindo CVE-2025-20337 e CVE-2025-20281, já foram associadas a ataques. O histórico reforça a necessidade de tratar o produto como um componente crítico da infraestrutura e incluí-lo nos processos regulares de gestão de vulnerabilidades, inventário e resposta a incidentes.
Por ter pontuação CVSS máxima e exploração ativa confirmada, a CVE-2026-76460 deve ser tratada como uma emergência operacional. Atualizar os sistemas, limitar o acesso às interfaces administrativas, revisar os registros externos e investigar sinais de abuso são medidas essenciais para reduzir o risco de tomada de controle da plataforma e de propagação do ataque pela rede corporativa.