RespuestasPublicado22 fuentes
CVE-2026-76460 en Cisco ISE: un bypass de autenticación explotado activamente con acceso root
CVE 2026 76460 es una vulnerabilidad CVSS 10.0 explotada activamente en Cisco ISE e ISE PIC: una solicitud manipulada a una API puede eludir la autenticación y derivar en ejecución de comandos con privilegios root. CISA incorporó el fallo a su catálogo KEV el 16 de septiembre de 2026 y fijó el 19 de septiembre como...
Publicado porEditado con GPT-5.6 TerraImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- CVE 2026 76460 es una vulnerabilidad CVSS 10.0 explotada activamente en Cisco ISE e ISE PIC: una solicitud manipulada a una API puede eludir la autenticación y derivar en ejecución de comandos con privilegios root.
- CISA incorporó el fallo a su catálogo KEV el 16 de septiembre de 2026 y fijó el 19 de septiembre como fecha límite de corrección para las agencias civiles federales de Estados Unidos.
- No existe una solución temporal que elimine la vulnerabilidad: los equipos expuestos o con indicios sospechosos deben tratarse como un posible incidente, además de actualizarse.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 es una vulnerabilidad especialmente grave porque afecta a infraestructura de identidad y ya está siendo explotada. El fallo afecta a Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC): un atacante remoto sin autenticarse puede enviar una solicitud manipulada a un endpoint de API vulnerable, eludir los controles de acceso y obtener ejecución de comandos con privilegios root en el dispositivo afectado. 1
3
48
Por qué requiere una respuesta inmediata
La vulnerabilidad tiene una puntuación CVSS 10.0, la máxima posible. Afecta a ISE e ISE-PIC independientemente de la configuración del dispositivo; no requiere credenciales válidas ni interacción de usuarios. El problema reside en controles de autenticación insuficientes en un endpoint de API, que permiten sortear la interfaz de administración web. 1
3
40
Cisco comunicó la explotación activa el 16 de septiembre de 2026. Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió CVE-2026-76460 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) y estableció el 19 de septiembre como plazo de corrección para las agencias civiles federales estadounidenses. 1
9
15
No hay una medida alternativa que elimine el fallo subyacente: para las versiones compatibles, la corrección consiste en instalar el software actualizado de Cisco. 2
16
Qué implica el bypass en una plataforma de identidad
Cisco ISE es una plataforma de identidad y control de acceso de red. Por ello, comprometerla puede poner en riesgo un punto de control de alto valor dentro de la organización. El impacto técnico comunicado no se limita a visualizar o administrar la interfaz: un atacante no autenticado podría obtener ejecución de comandos con privilegios root y, en consecuencia, controlar el appliance o nodo virtual afectado. 3
48
Las organizaciones con interfaces de administración o API de ISE accesibles desde redes no confiables —o desde segmentos internos demasiado amplios— deben evaluar el caso como una posible situación de respuesta a incidentes. La información pública confirma la explotación activa, pero no identifica a los atacantes, el número de víctimas, las herramientas empleadas, la fecha de inicio de los ataques ni actividades confirmadas tras el compromiso. 1
15
Versiones corregidas de Cisco ISE e ISE-PIC
| Rama de versión | Primera versión corregida |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Las organizaciones que aún utilizan ISE 3.0 deben planificar una migración a una versión compatible. La versión 3.0 ha llegado al fin de mantenimiento de software y no recibirá esta corrección. Limitar la exposición de las interfaces administrativas y de API puede reducir el riesgo durante la migración, pero no sustituye la actualización a una versión corregida y compatible. 2
16
48
Plan práctico de respuesta
1. Localizar todos los nodos y actualizar los sistemas compatibles
El inventario debe incluir los despliegues de ISE e ISE-PIC, incluidos nodos de administración, de servicios de políticas, de monitorización y de identidad pasiva. Hay que comprobar tanto la versión instalada como el nivel de parche y actualizar a la primera versión corregida aplicable, o a una posterior. 3
13
2. Conservar evidencias antes de aplicar cambios disruptivos
Siempre que sea viable desde el punto de vista operativo, recopile registros relevantes, estado del sistema y de red, información de configuración y un paquete de soporte compatible con el fabricante antes de parchear o reconstruir. La entrada de CISA en KEV pide a las agencias seguir sus requisitos de triaje forense junto con la guía de remediación del proveedor. 1
3. Buscar señales de acceso no autorizado
Revise los registros de aplicación y auditoría administrativa de ISE en busca de actividad inesperada de API, eventos de autenticación, cambios de administradores, políticas, certificados, exportaciones de configuración o repositorios. Correlacione esos datos con telemetría de firewalls, VPN, proxies inversos o balanceadores, DNS, EDR y flujos de red relacionados con las interfaces de administración de ISE o con actividad saliente inusual.
La búsqueda debe cubrir el periodo anterior al parcheado y llegar hasta el presente. Que la interfaz web parezca normal no demuestra que el sistema no haya sido accedido, especialmente cuando el impacto comunicado incluye ejecución con privilegios root. 3
48
4. Reconstruir los nodos posiblemente comprometidos
El parche cierra la vía de entrada vulnerable, pero por sí solo no confirma que un equipo comprometido anteriormente esté limpio. Conviene reconstruir, y no limitarse a parchear, los nodos con evidencias de explotación, cambios inexplicables a nivel root, procesos, archivos o conexiones sospechosos, material de confianza alterado o cambios de configuración sin justificación.
Restaure únicamente desde una copia de seguridad validada como anterior al periodo de posible compromiso. Antes de reconectar el nodo, aplique la versión corregida y rote credenciales o secretos que pudieran estar almacenados en el sistema o ser accesibles desde él. Esto puede incluir cuentas administrativas de ISE, credenciales de API y repositorios, así como certificados o claves potencialmente expuestos.
Diferencias frente a CVE-2026-76461
CVE-2026-76460 fue el segundo zero-day de Cisco explotado activamente que se divulgó esa semana. El otro, CVE-2026-76461, es una vulnerabilidad de inyección SQL con CVSS 9.8 en el análisis de correo de Cisco AsyncOS para Cisco Secure Email Gateway. Un atacante remoto sin autenticación puede enviar un correo manipulado con instrucciones SQL maliciosas a través de una pasarela vulnerable y lograr ejecución de comandos con privilegios root. 33
44
Las superficies de ataque son distintas:
- CVE-2026-76460: una solicitud manipulada a una API de ISE o ISE-PIC elude la autenticación.
1
40
- CVE-2026-76461: contenido malicioso en un correo alcanza la lógica vulnerable de análisis de Cisco Secure Email Gateway.
33
Ambas vulnerabilidades son prioritarias porque se han comunicado como explotadas activamente, son accesibles de forma remota y pueden dar control con privilegios root sin autenticación previa. 15
33
44
La evidencia disponible confirma directamente que Cisco Secure Email Gateway es el producto afectado por CVE-2026-76461. Algunas publicaciones incluyen Cisco Secure Email and Web Manager en avisos más amplios sobre productos de correo de Cisco, pero la planificación de parches debe basarse en el aviso y las versiones aplicables a cada producto concreto. 33
41
Lo que aún no se conoce
La explotación activa y la gravedad técnica están confirmadas, pero siguen sin conocerse públicamente aspectos operativos esenciales. Las comunicaciones públicas de Cisco y la cobertura contemporánea no determinan quién está detrás de los ataques, cuántas organizaciones fueron afectadas, cuándo empezó la explotación, qué herramientas se usaron ni qué hicieron los atacantes después de obtener acceso. 1
15
Los informes sobre escaneos posteriores a la divulgación son un motivo adicional para acelerar la corrección, pero la evidencia disponible no permite estimar de forma fiable su volumen ni atribuirlos a un actor concreto. La conclusión operativa es clara: un bypass de autenticación sin alternativa de mitigación, con CVSS 10.0, explotación activa y capacidad de comprometer infraestructura de identidad debe parchearse de inmediato e investigarse cuando la exposición o la actividad sospechosa hagan plausible un compromiso. 1
3
48
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "CVE-2026-76460 en Cisco ISE: un bypass de autenticación explotado activamente con acceso root"?
CVE 2026 76460 es una vulnerabilidad CVSS 10.0 explotada activamente en Cisco ISE e ISE PIC: una solicitud manipulada a una API puede eludir la autenticación y derivar en ejecución de comandos con privilegios root.
¿Cuáles son los puntos clave a validar primero?
CVE 2026 76460 es una vulnerabilidad CVSS 10.0 explotada activamente en Cisco ISE e ISE PIC: una solicitud manipulada a una API puede eludir la autenticación y derivar en ejecución de comandos con privilegios root. CISA incorporó el fallo a su catálogo KEV el 16 de septiembre de 2026 y fijó el 19 de septiembre como fecha límite de corrección para las agencias civiles federales de Estados Unidos.
¿Qué debo hacer a continuación en la práctica?
No existe una solución temporal que elimine la vulnerabilidad: los equipos expuestos o con indicios sospechosos deben tratarse como un posible incidente, además de actualizarse.