AnswersPublished22 sources
CVE-2026-76460: lo zero-day Cisco ISE che consente accesso root senza credenziali
CVE 2026 76460 è una vulnerabilità CVSS 10,0 già sfruttata in Cisco ISE e ISE PIC: una richiesta API appositamente costruita può aggirare l’autenticazione e portare all’esecuzione di comandi con privilegi root. Cisco ha reso noto il problema il 16 settembre 2026; nello stesso giorno CISA lo ha inserito nel catalogo...
Pubblicato daModificato con GPT-5.6 TerraImmagini generate con GPT Image 2
Research answer
Key takeaways
- CVE 2026 76460 è una vulnerabilità CVSS 10,0 già sfruttata in Cisco ISE e ISE PIC: una richiesta API appositamente costruita può aggirare l’autenticazione e portare all’esecuzione di comandi con privilegi root.
- Cisco ha reso noto il problema il 16 settembre 2026; nello stesso giorno CISA lo ha inserito nel catalogo KEV, fissando al 19 settembre la scadenza di correzione per le agenzie federali civili statunitensi.
- Non esiste un workaround risolutivo. Le organizzazioni devono aggiornare i nodi supportati, conservare le evidenze prima degli interventi e valutare il reimaging dei sistemi per cui un compromesso sia plausibile.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 va trattata come un’emergenza operativa per chi utilizza Cisco Identity Services Engine (ISE) o ISE Passive Identity Connector (ISE-PIC). La falla è già sfruttata attivamente e consente a un attaccante remoto, privo di credenziali, di aggirare l’autenticazione tramite un endpoint API vulnerabile. Secondo quanto riportato da Cisco e dalla stampa specializzata, lo sfruttamento riuscito può portare all’esecuzione di comandi con privilegi root sul dispositivo interessato. 1
3
48
Perché è una vulnerabilità da correggere immediatamente
Il punteggio CVSS è 10,0, il massimo della scala. La vulnerabilità interessa ISE e ISE-PIC indipendentemente dalla configurazione: non richiede account validi né interazione dell’utente. È sufficiente inviare una richiesta appositamente predisposta all’API vulnerabile per superare i controlli di accesso dell’interfaccia di gestione web. 1
3
40
Cisco ha comunicato lo sfruttamento attivo il 16 settembre 2026. CISA, l’agenzia statunitense per la sicurezza delle infrastrutture e la cybersicurezza, ha inserito CVE-2026-76460 nel catalogo Known Exploited Vulnerabilities (KEV) nello stesso giorno, imponendo alle agenzie federali civili degli Stati Uniti la correzione entro il 19 settembre. 1
9
15
Non è disponibile alcun workaround che elimini il difetto: per le release supportate, la misura risolutiva è installare il software Cisco corretto. 2
16
Cosa comporta il bypass dell’autenticazione in ISE
ISE è una piattaforma di controllo dell’identità e dell’accesso alla rete. Per questa ragione, una sua compromissione coinvolge un punto di controllo potenzialmente molto rilevante dell’infrastruttura. Il difetto tecnico consiste in controlli di autenticazione insufficienti su un endpoint API, che permettono di eludere le verifiche previste. 1
40
L’impatto non si limita alla consultazione dell’interfaccia amministrativa: un attaccante non autenticato può arrivare all’esecuzione di comandi root, e quindi al controllo dell’appliance o del nodo virtuale colpito. 3
48
Le fonti pubbliche confermano lo sfruttamento attivo, ma non indicano chi siano gli attaccanti, quante organizzazioni siano state colpite, quando sia iniziata l’attività, quali strumenti siano stati impiegati o quali azioni post-compromissione siano state confermate. 1
15
Release corrette di Cisco ISE e ISE-PIC
| Ramo di release | Prima release corretta |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Chi utilizza ISE 3.0 deve pianificare la migrazione verso una release supportata. La versione 3.0 ha raggiunto la fine della manutenzione software e non riceverà la correzione. Limitare l’esposizione delle interfacce amministrative e API può ridurre temporaneamente la superficie d’attacco, ma non sostituisce l’aggiornamento a una versione corretta e supportata. 2
16
48
Piano di risposta pratico
1. Individuare tutti i nodi e applicare le patch
Inventariare tutte le installazioni ISE e ISE-PIC, inclusi nodi di amministrazione, policy service, monitoraggio e passive identity. Verificare release e livello di patch installati, quindi aggiornare i sistemi supportati almeno alla prima release corretta indicata per il proprio ramo. 3
13
2. Conservare le evidenze prima di cambiamenti invasivi
Quando possibile, prima di applicare patch, ricostruire nodi o modificare configurazioni, raccogliere log pertinenti, stato del sistema e della rete, configurazioni e un support bundle compatibile con le procedure Cisco. La voce KEV di CISA richiede alle agenzie di seguire anche le indicazioni di triage forense insieme alle istruzioni del fornitore. 1
3. Cercare segnali di accesso non autorizzato
Esaminare i log applicativi e di audit amministrativo di ISE alla ricerca di attività API inattese, eventi di autenticazione anomali, modifiche agli amministratori, alle policy, ai certificati, alle esportazioni di configurazione e ai repository.
Correlare questi elementi con telemetria di firewall, VPN, reverse proxy o bilanciatori, DNS, EDR e flussi di rete: in particolare, connessioni verso interfacce di gestione ISE e traffico in uscita insolito dai nodi. L’analisi dovrebbe coprire il periodo precedente all’installazione della patch fino al presente. Un’interfaccia web apparentemente normale non dimostra che il sistema non sia mai stato raggiunto, soprattutto considerando il possibile impatto a livello root. 3
48
4. Ricostruire i sistemi potenzialmente compromessi
La patch chiude il punto d’ingresso, ma non prova che un host compromesso in precedenza sia pulito. È preferibile ricostruire, anziché limitarsi ad aggiornare, un nodo per il quale emergano evidenze di sfruttamento, modifiche root inspiegate, processi, file o connessioni sospetti, materiale di fiducia alterato o cambiamenti di configurazione non giustificati.
Ripristinare soltanto da backup verificati come anteriori al periodo di compromissione sospetto; applicare la release corretta prima della riconnessione; ruotare credenziali e segreti potenzialmente presenti sul nodo o raggiungibili da esso. Possono rientrare in questa attività gli account amministrativi ISE, le credenziali API e dei repository, nonché certificati e chiavi potenzialmente esposti.
Il confronto con CVE-2026-76461
CVE-2026-76460 è stato il secondo zero-day Cisco già sfruttato reso noto in quella settimana. L’altro, CVE-2026-76461, è una vulnerabilità SQL injection con CVSS 9,8 nel parsing delle email di Cisco AsyncOS per Cisco Secure Email Gateway. Un attaccante remoto senza autenticazione può inviare un’email costruita ad hoc, contenente istruzioni SQL malevole, tramite un gateway vulnerabile e ottenere potenzialmente l’esecuzione di comandi root. 33
44
I vettori d’attacco sono diversi:
- CVE-2026-76460: una richiesta manipolata verso un endpoint API di ISE o ISE-PIC aggira l’autenticazione.
1
40
- CVE-2026-76461: contenuto email malevolo raggiunge la logica vulnerabile di parsing in Cisco Secure Email Gateway.
33
Entrambe meritano priorità assoluta perché risultano attivamente sfruttate, raggiungibili da remoto e potenzialmente in grado di dare controllo root senza autenticazione preventiva. 15
33
44
Le evidenze disponibili confermano direttamente Cisco Secure Email Gateway come prodotto interessato da CVE-2026-76461. Alcuni report includono anche Cisco Secure Email and Web Manager in avvisi più ampi sui prodotti email Cisco, ma la pianificazione delle patch deve basarsi sull’advisory Cisco specifico per prodotto e sulle relative istruzioni di release. 33
41
Cosa non è ancora noto
Sono confermati sia lo sfruttamento attivo sia l’estrema gravità tecnica, ma restano ignoti diversi dettagli operativi: identità degli autori, numero delle vittime, data d’inizio degli attacchi, strumenti usati e attività effettivamente svolte dopo l’accesso. 1
15
Segnalazioni di scansioni successive alla divulgazione sono un ulteriore motivo per accelerare la correzione, ma le informazioni disponibili non permettono di stimarne il volume né di attribuirle con affidabilità a un attore specifico. La conclusione operativa è netta: un bypass dell’autenticazione, senza workaround, già sfruttato e con impatto root su infrastruttura di identità va corretto subito e investigato ogni volta che esposizione o attività sospette rendano plausibile un compromesso. 1
3
48
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "CVE-2026-76460: lo zero-day Cisco ISE che consente accesso root senza credenziali"?
CVE 2026 76460 è una vulnerabilità CVSS 10,0 già sfruttata in Cisco ISE e ISE PIC: una richiesta API appositamente costruita può aggirare l’autenticazione e portare all’esecuzione di comandi con privilegi root.
What are the key points to validate first?
CVE 2026 76460 è una vulnerabilità CVSS 10,0 già sfruttata in Cisco ISE e ISE PIC: una richiesta API appositamente costruita può aggirare l’autenticazione e portare all’esecuzione di comandi con privilegi root. Cisco ha reso noto il problema il 16 settembre 2026; nello stesso giorno CISA lo ha inserito nel catalogo KEV, fissando al 19 settembre la scadenza di correzione per le agenzie federali civili statunitensi.
What should I do next in practice?
Non esiste un workaround risolutivo. Le organizzazioni devono aggiornare i nodi supportati, conservare le evidenze prima degli interventi e valutare il reimaging dei sistemi per cui un compromesso sia plausibile.