Cisco ha publicado una advertencia sobre la vulnerabilidad crítica CVE-2026-76460 (CVSS 10.0) en Identity Services Engine (ISE) y ISE Passive Identity Connector (ISE-PIC), que, según datos de Cisco PSIRT, ya se está explotando en ataques reales. La vulnerabilidad permite a un atacante remoto no autenticado eludir la autenticación de un endpoint de API y obtener acceso no autorizado a la interfaz web de administración y, en caso de explotación satisfactoria, ejecutar comandos con privilegios de root. No existen soluciones temporales: la única medida completa es la instalación del parche. CISA incluyó la vulnerabilidad en el catálogo Known Exploited Vulnerabilities (KEV) el 16 de septiembre de 2026, con fecha límite de corrección para las agencias federales de EE. UU. el 19 de septiembre de 2026. La vulnerabilidad afecta a todas las configuraciones de ISE e ISE-PIC desde la versión 3.1 hasta la 3.5.
Detalles técnicos de la vulnerabilidad
Según el aviso de seguridad oficial de Cisco, la causa raíz es un control insuficiente de autenticación en el endpoint de API. El atacante envía una solicitud especialmente diseñada al endpoint vulnerable y, a continuación, obtiene acceso a la interfaz web de administración de ISE sin pasar por la autenticación. Cisco ha asignado a la vulnerabilidad el clasificador CWE-648 y la puntuación CVSS máxima, 10.0.
Un aspecto clave que destaca Cisco: en caso de explotación satisfactoria, el atacante obtiene la posibilidad de ejecutar comandos con privilegios de root. Esto significa control total sobre el dispositivo, incluida la capacidad de eliminar u ocultar rastros de la intrusión.
Versiones afectadas y parches correspondientes:
- ISE/ISE-PIC 3.1: corregido en 3.1 Patch 12
- ISE/ISE-PIC 3.2: corregido en 3.2 Patch 11
- ISE/ISE-PIC 3.3: corregido en 3.3 Patch 12
- ISE/ISE-PIC 3.4: corregido en 3.4 Patch 7
- ISE/ISE-PIC 3.5: corregido en 3.5 Patch 4
La vulnerabilidad afecta a ISE e ISE-PIC independientemente de la configuración del dispositivo, lo que amplía significativamente la superficie de ataque, ya que no existe ningún parámetro de configuración que reduzca el riesgo.
Detección de la intrusión: por qué los logs locales no son suficientes
Cisco recomienda comprobar el archivo access.log en busca de nombres de usuario sospechosos con el siguiente comando:
admin#show logging application ise-kong/access.log | include dummyuser
La presencia de cualquier registro en la salida de este comando indica con una alta probabilidad actividad maliciosa. Si se detectan dichos registros, Cisco recomienda reinstalar la imagen de los nodos afectados y restaurar la configuración desde una copia de seguridad.
Sin embargo, aquí surge un problema importante de detección que debe tenerse en cuenta en la respuesta. Cisco advierte explícitamente que los atacantes que hayan obtenido privilegios de root pueden eliminar u ocultar indicadores de compromiso en el propio dispositivo. Esto significa que un archivo access.loglimpio no es una base suficiente para concluir que no ha habido compromiso. En despliegues distribuidos de ISE es necesario comprobar los logs de cada nodo, así como correlacionar los datos con fuentes externas: registros de equipos de red, cortafuegos y sistemas de monitorización que estén fuera del control del atacante en el nodo ISE comprometido.
Alcance de la actualización de septiembre y priorización
CVE-2026-76460 se reveló en el marco de una amplia actualización de seguridad de Cisco el 16 de septiembre de 2026. Según la fuente original, ese mismo día se publicaron 77 nuevos CVE, de los cuales 41 afectan a ISE y 28 a la línea Secure Firewall. Estas cifras solo están respaldadas por una fuente secundaria y no han sido confirmadas directamente por Cisco en avisos públicos.
Entre otras vulnerabilidades de ISE reveladas se encuentran varios grupos con valoraciones críticas de CVSS:
- CVE-2026-76423 (CVSS 10.0) y los relacionados CVE-2026-76424 — CVE-2026-76428: bypass de autenticación de REST API, remote code execution, SQL injection y XXE attacks
- CVE-2026-20176 (CVSS 9.9), CVE-2026-20211 и CVE-2026-20307: remote execution of OS commands (se requieren credenciales administrativas)
- CVE-2026-20130 и CVE-2026-20192 (ambas CVSS 10.0): bypass de autenticación y autorización, command injection
La diferencia fundamental entre CVE-2026-76460 y la mayoría de las demás vulnerabilidades de ISE reveladas es que no requiere autenticación. Muchas de las vulnerabilidades críticas asociadas (por ejemplo, el grupo CVE-2026-20176/20211/20307) suponen que el atacante dispone de credenciales administrativas válidas. CVE-2026-76460 no tiene esta limitación, lo que, combinado con la explotación activa confirmada y su inclusión en CISA KEV, la convierte en una prioridad absoluta para aplicar el parche de inmediato.
Es importante tener en cuenta que los límites de los productos afectados difieren entre los grupos de vulnerabilidades. CVE-2026-76460 afecta tanto a ISE como a ISE-PIC independientemente de la configuración. El grupo CVE-2026-76423 — CVE-2026-76428 tiene una cobertura mixta: parte de las vulnerabilidades afectan a ambos productos y parte solo a ISE. El grupo de vulnerabilidades de RCE (CVE-2026-20176 y otros) afecta a ISE, pero no a ISE-PIC. Al planificar la instalación de parches es necesario remitirse a los avisos concretos de cada grupo.
Cabe señalar por separado que Cisco utiliza valoraciones CVSS agrupadas para las versiones de «hardening», en las que la puntuación indicada refleja la gravedad potencial máxima de la vulnerabilidad más crítica dentro de un grupo de CWE, y no de cada vulnerabilidad individual del grupo.
Relación con otras vulnerabilidades de Cisco explotadas activamente
La divulgación de CVE-2026-76460 se produjo pocos días después de que Cisco informara sobre la explotación activa de CVE-2026-76461 (CVSS 9.8), una vulnerabilidad crítica en AsyncOS Software para Cisco Secure Email Gateway. Ya analizamos esta vulnerabilidad en el artículo CVE-2026-76461: SQL-инъекция в Cisco Secure Email Gateway. Anteriormente en septiembre, Cisco también reveló vulnerabilidades críticas en Nexus 9000 e IOS XR, sobre lo que escribimos anteriormente. El conjunto de estos acontecimientos indica un período intenso de divulgación de vulnerabilidades críticas en productos Cisco.
No hay información sobre la atribución de los ataques que explotan CVE-2026-76460: Cisco no ha revelado ni la naturaleza de los ataques, ni los atacantes que están detrás de ellos, ni la magnitud de la campaña.
Recomendaciones de respuesta
- Instale inmediatamente el parche a las versiones indicadas en el aviso de seguridad de Cisco. No existen soluciones temporales.
- Antes de instalar el parche, limite el acceso a la interfaz de administración de ISE mediante listas de control de acceso de la infraestructura (iACL), permitiendo solo el tráfico de gestión y de plano de control necesario.
- Compruebe todos los nodos del despliegue distribuido de ISE en busca de indicadores de compromiso utilizando el comando indicado para analizar
access.log. - Correlacione con logs externos: registros de cortafuegos, equipos de red y sistemas SIEM, ya que el acceso root permite al atacante ocultar los rastros en el propio dispositivo.
- Si se detecta compromiso, reinstale la imagen de los nodos afectados y restaure la configuración desde una copia de seguridad.
CVE-2026-76460 es un caso poco frecuente de combinación de puntuación CVSS máxima, vector de ataque no autenticado, explotación activa confirmada y ausencia de soluciones temporales. Las organizaciones que utilizan Cisco ISE o ISE-PIC en cualquier versión desde la 3.1 hasta la 3.5 deben considerar la instalación del parche correspondiente como una tarea de máxima prioridad y, en paralelo, llevar a cabo un análisis retrospectivo de los logs para descartar compromisos ya producidos.
