RespostasPublicado22 fontes
Cisco ISE: falha CVSS 10 explorada ativamente permite acesso root sem login
A CVE 2026 76460 é uma vulnerabilidade CVSS 10,0 explorada ativamente no Cisco ISE e ISE PIC; uma requisição à API pode burlar a autenticação e levar à execução de comandos como root. A CISA incluiu a falha no catálogo KEV em 16 de setembro de 2026 e definiu 19 de setembro como prazo de correção para órgãos civis fe...
Publicado porEditado com GPT-5.6 TerraImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- A CVE 2026 76460 é uma vulnerabilidade CVSS 10,0 explorada ativamente no Cisco ISE e ISE PIC; uma requisição à API pode burlar a autenticação e levar à execução de comandos como root.
- A CISA incluiu a falha no catálogo KEV em 16 de setembro de 2026 e definiu 19 de setembro como prazo de correção para órgãos civis federais dos Estados Unidos.
- Além de aplicar o patch, empresas devem preservar evidências, analisar registros de acesso e reconstruir nós com indícios de comprometimento.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
A CVE-2026-76460 merece tratamento de emergência porque atinge uma plataforma de identidade e controle de acesso à rede — e já há exploração ativa. A falha afeta o Cisco Identity Services Engine (ISE) e o ISE Passive Identity Connector (ISE-PIC). Um invasor remoto, sem credenciais, pode enviar uma requisição especialmente criada a uma API vulnerável, contornar a autenticação e obter acesso ao equipamento. Segundo os relatos sobre o impacto, a exploração bem-sucedida pode permitir execução de comandos com privilégios de root. 1
3
48
Por que a falha exige ação imediata
A vulnerabilidade recebeu CVSS 10,0, a nota máxima da escala. Ela atinge ISE e ISE-PIC independentemente da configuração usada e não exige login válido nem interação de usuário: basta uma requisição manipulada ao endpoint afetado da API para contornar os controles esperados da interface de gerenciamento web. 1
3
40
A Cisco divulgou a exploração ativa em 16 de setembro de 2026. No mesmo dia, a CISA — agência de cibersegurança dos Estados Unidos — adicionou a CVE-2026-76460 ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV, na sigla em inglês). Para órgãos civis federais americanos, o prazo definido para correção foi 19 de setembro. 1
9
15
Não há uma medida alternativa que elimine a vulnerabilidade. Para versões com suporte, a correção é instalar o software corrigido disponibilizado pela Cisco. 2
16
O que significa burlar a autenticação no ISE
O ISE é uma plataforma de identidade e controle de acesso de rede. Por isso, sua invasão pode comprometer um ponto central da infraestrutura. O problema técnico imediato está na autenticação de uma API: controles insuficientes permitem que uma requisição forjada ignore as verificações de acesso previstas. 1
40
O impacto vai além da visualização da interface de administração. Um invasor não autenticado pode obter execução de comandos com privilégios de root — na prática, controle do appliance ou nó virtual afetado. 3
48
Isso transforma sistemas vulneráveis em potenciais casos de resposta a incidentes, sobretudo quando interfaces de administração ou APIs do ISE estão expostas a redes não confiáveis ou a segmentos internos muito amplos. As informações públicas confirmam a exploração ativa, mas não identificam os invasores, a quantidade de vítimas, as ferramentas usadas, a data do primeiro ataque ou atividades confirmadas após o comprometimento. 1
15
Versões corrigidas do Cisco ISE e ISE-PIC
Estas são as primeiras versões com correção:
| Linha de versão | Primeira versão corrigida |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Quem ainda usa o ISE 3.0 deve planejar a migração para uma versão suportada. A linha 3.0 chegou ao fim da manutenção de software e não receberá a correção. Restringir o acesso administrativo e à API pode reduzir a exposição durante a migração, mas não substitui a mudança para uma versão com patch. 2
16
48
Plano prático de resposta
1. Localize todos os nós e corrija as instalações suportadas
Faça o inventário de implantações ISE e ISE-PIC, incluindo nós de administração, serviços de políticas, monitoramento e identidade passiva. Confirme a versão e o nível de patch instalados e atualize cada sistema suportado para a primeira versão corrigida aplicável — ou uma versão posterior. 3
13
2. Preserve evidências antes de mudanças mais disruptivas
Quando operacionalmente viável, colete logs relevantes, estado do sistema e da rede, dados de configuração e um pacote de suporte compatível com as orientações do fabricante antes de aplicar o patch ou reconstruir o nó. A entrada da CISA no KEV orienta suas agências a seguirem requisitos de triagem forense junto com a orientação do fornecedor. 1
3. Procure sinais de acesso não autorizado
Revise registros de aplicação e auditoria administrativa do ISE em busca de atividade inesperada de API, eventos de autenticação, alterações de administradores, políticas ou certificados, exportações de configuração e mudanças em repositórios. Relacione esses eventos a dados de firewall, VPN, proxy reverso ou balanceador de carga, DNS, EDR e fluxos de rede, com atenção a conexões às interfaces de gerenciamento do ISE e a tráfego de saída incomum.
A análise deve cobrir o período anterior à aplicação do patch até o presente. Uma interface web aparentemente normal não prova que o sistema nunca foi acessado, especialmente quando o impacto informado inclui execução como root. 3
48
4. Reconstrua sistemas que possam ter sido comprometidos
O patch fecha a porta de entrada vulnerável, mas não comprova que um host já invadido esteja limpo. Reconstrua — em vez de apenas atualizar — qualquer nó com evidências de exploração, alterações inexplicáveis com privilégios de root, processos, arquivos ou conexões suspeitos, material de confiança alterado ou mudanças de configuração sem explicação.
Restaure apenas backups validados como anteriores ao período suspeito de comprometimento. Aplique a versão corrigida antes de reconectar o equipamento e faça a rotação de credenciais ou segredos que possam estar armazenados no nó ou acessíveis a partir dele. Isso pode incluir contas administrativas do ISE, credenciais de API e de repositórios e, quando houver possibilidade de exposição, certificados ou chaves.
Comparação com a CVE-2026-76461
A CVE-2026-76460 foi o segundo zero-day da Cisco com exploração ativa divulgado naquela semana. O outro, a CVE-2026-76461, é uma vulnerabilidade de injeção de SQL com CVSS 9,8 no processamento de e-mails do Cisco AsyncOS para o Cisco Secure Email Gateway. Um invasor remoto e não autenticado pode enviar um e-mail manipulado com instruções SQL maliciosas por um gateway vulnerável, o que pode resultar em execução de comandos como root. 33
44
As portas de entrada são diferentes:
- CVE-2026-76460: uma requisição manipulada a um endpoint de API do ISE ou ISE-PIC burla a autenticação.
1
40
- CVE-2026-76461: conteúdo malicioso de e-mail alcança a lógica vulnerável de processamento de mensagens no Cisco Secure Email Gateway.
33
As duas falhas são especialmente urgentes porque há relatos de exploração ativa, alcance remoto e potencial de controle como root sem autenticação prévia. 15
33
44
As evidências disponíveis confirmam diretamente o Cisco Secure Email Gateway como produto afetado pela CVE-2026-76461. Alguns relatórios também mencionam o Cisco Secure Email and Web Manager em avisos mais amplos sobre produtos de e-mail da Cisco, mas o planejamento de patches deve se basear no boletim específico da Cisco e nas versões indicadas para cada produto instalado. 33
41
O que ainda não se sabe
A exploração ativa e a gravidade técnica estão confirmadas, mas detalhes operacionais importantes seguem desconhecidos publicamente. As divulgações da Cisco e as reportagens da época não estabelecem quem conduz os ataques, quantas organizações foram atingidas, quando a exploração começou, quais ferramentas foram empregadas ou o que os invasores fizeram após obter acesso. 1
15
Relatos de varreduras após a divulgação são mais um motivo para acelerar a correção, mas as evidências fornecidas não permitem estimar com segurança o volume dessas varreduras nem atribuí-las a um ator específico. A conclusão prática é direta: um bypass de autenticação, sem solução alternativa, com nota máxima e exploração ativa em infraestrutura de identidade deve ser corrigido imediatamente — e investigado sempre que a exposição ou atividades suspeitas tornarem um comprometimento plausível. 1
3
48
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Cisco ISE: falha CVSS 10 explorada ativamente permite acesso root sem login"?
A CVE 2026 76460 é uma vulnerabilidade CVSS 10,0 explorada ativamente no Cisco ISE e ISE PIC; uma requisição à API pode burlar a autenticação e levar à execução de comandos como root.
Quais são os pontos-chave para validar primeiro?
A CVE 2026 76460 é uma vulnerabilidade CVSS 10,0 explorada ativamente no Cisco ISE e ISE PIC; uma requisição à API pode burlar a autenticação e levar à execução de comandos como root. A CISA incluiu a falha no catálogo KEV em 16 de setembro de 2026 e definiu 19 de setembro como prazo de correção para órgãos civis federais dos Estados Unidos.
O que devo fazer a seguir na prática?
Além de aplicar o patch, empresas devem preservar evidências, analisar registros de acesso e reconstruir nós com indícios de comprometimento.