Cisco ha confermato una vulnerabilità zero-day critica su Identity Services Engine (ISE) già sfruttata dagli hacker. È necessario applicare subito gli aggiornamenti per evitare intrusioni di rete.
Il 16 settembre 2026 Cisco ha diramato un bollettino di emergenza per una vulnerabilità zero-day con gravità massima (CVSS 10.0) riscontrata su Cisco Identity Services Engine (ISE). Il team di sicurezza dell'azienda ha confermato che la falla è attualmente sfruttata in attacchi informatici reali. Il problema richiede attenzione immediata perché colpisce il sistema centrale che gestisce gli accessi alla rete aziendale.
I dettagli tecnici della falla
La vulnerabilità Cisco ISE, identificata dal codice CVE-2026-76460, deriva dalla mancanza di controlli di autenticazione adeguati su un endpoint API. Un attaccante esterno, senza possedere credenziali, può inviare richieste manipolate all'API esposta. Questo permette di aggirare l'interfaccia web di gestione e ottenere l'accesso completo al sistema con i massimi privilegi (root).
Il problema riguarda sia Cisco ISE che Cisco ISE Passive Identity Connector (ISE-PIC), a prescindere da come sono configurati. Cisco ha chiarito che non esistono soluzioni temporanee all'interno del software per mitigare il difetto senza installare l'aggiornamento.
I rischi per le infrastrutture aziendali
Cisco ISE è il nodo centrale per il controllo degli accessi in molte aziende, gestendo protocolli come RADIUS e TACACS+, oltre alle policy di sicurezza e alla segmentazione della rete. Se un criminale informatico ottiene i privilegi di root su questo dispositivo, prende il controllo dell'intera infrastruttura di autenticazione.
Le conseguenze operative sono gravi: gli aggressori possono disattivare i controlli di rete, intercettare il traffico dati e muoversi liberamente verso i server interni o i software gestionali. Oltre al danno tecnico, una compromissione di questo livello fa scattare gli obblighi di notifica previsti dal GDPR e dalla direttiva NIS2 per le aziende soggette.
Cosa fare subito per proteggersi
Per bloccare gli attacchi in corso, i responsabili IT devono intervenire in modo tempestivo seguendo questi passaggi:
- Installare le patch: Aggiornare tutti i nodi ISE e ISE-PIC alle versioni corrette rilasciate da Cisco (3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 o 3.5 Patch 4).
- Isolare la rete: Se l'aggiornamento non può essere fatto all'istante, limitare l'accesso all'interfaccia di gestione e alle API usando regole firewall o liste di controllo accessi (ACL) a livello perimetrale. Consentire il traffico solo dagli indirizzi IP degli amministratori di rete autorizzati.
- Verificare i log: Controllare i file di registro di ogni singolo nodo del cluster. Cisco consiglia di eseguire questo comando da console:
admin# show logging application ise-kong/access.log | include dummyuser. Eventuali risultati anomali indicano una possibile intrusione. - Gestire la compromissione: Se si rilevano tracce di un attacco, non basta aggiornare. È necessario reinstallare l'immagine pulita dei nodi colpiti e ripristinare la configurazione da un backup creato prima dell'incidente.
Verificate con il vostro reparto IT o partner tecnologico lo stato di aggiornamento dei sistemi di controllo degli accessi aziendali.
