La risposta breve
Una Cisco ISE non aggiornata può essere presa con una singola richiesta forgiata — senza login, senza credenziali. CVE-2026-76460 (CVSS 10.0) è una falla di bypass dell'autenticazione su un endpoint API di ISE che si concatena con l'esecuzione arbitraria di comandi come root. Cisco ha confermato lo sfruttamento attivo, la CISA ha aggiunto la falla al catalogo Known Exploited Vulnerabilities a settembre 2026 e Cisco afferma che non esiste alcun workaround. La correzione è aggiornare ISE a una versione corretta immediatamente.
Per i team in Italia e nell'UE il punto dolente sta in dove risiede la falla: ISE è il sistema che decide chi e cosa è ammesso in rete, quindi possederlo significa possedere la policy di accesso stessa. Appliance come questa godono di fiducia implicita e raramente entrano in un perimetro di test — ed è proprio per questo che dovrebbero rientrarvi. È la postura che integriamo in un penetration test e audit di sicurezza: trattare i sistemi che dovrebbero applicare la tua sicurezza come superficie d'attacco e dimostrare che reggono.
Cosa ha divulgato Cisco
Cisco Identity Services Engine (ISE) è il cervello delle policy del controllo degli accessi di rete in azienda. Autentica utenti e dispositivi, applica chi può raggiungere quale segmento di rete e governa 802.1X, accesso guest, controlli di posture e segmentazione. Questo ruolo la rende uno dei punti di strozzatura più sensibili di un'architettura aziendale: un attaccante che controlla ISE non viola un solo server, ma ottiene una leva sulle regole che governano l'accesso a tutto il resto.
A settembre 2026 Cisco ha divulgato CVE-2026-76460, una vulnerabilità causata da controlli di autenticazione insufficienti su uno specifico endpoint API in ISE e nell'ISE Passive Identity Connector (ISE-PIC). Un attaccante remoto non autenticato può inviare una richiesta forgiata a quell'endpoint, eludere l'interfaccia di gestione web e, in ultima analisi, eseguire comandi con privilegi di root sul sistema sottostante. Cisco l'ha valutata CVSS 10.0 — il massimo della scala —, ha rilevato che ISE e ISE-PIC sono interessati indipendentemente dalla configurazione e ha confermato che non esiste alcun workaround.
Il PSIRT di Cisco ha inoltre dichiarato di essere a conoscenza di sfruttamento attivo. Poco dopo la divulgazione, la CISA ha aggiunto CVE-2026-76460 al suo catalogo Known Exploited Vulnerabilities, che fa scattare una scadenza di remediation obbligatoria per le agenzie federali civili statunitensi e funge da forte segnale per tutti gli altri. L'inserimento nel KEV significa che gli attacchi sono confermati, non teorici — e poiché un exploit riuscito gira come root, un intruso può anche nascondere o eliminare proprio gli indicatori che un difensore cercherebbe.
Perché una richiesta diventa root
Ciò che rende questo bug così grave è la totale assenza di prerequisiti. Nessuna password da indovinare, nessuna sessione da dirottare, nessuna esca di phishing su cui un utente debba cliccare. L'attaccante invia una singola richiesta forgiata a un endpoint API che non applica l'autenticazione, e questo unico fallimento apre la superficie di gestione. Poiché il processo sfruttato gira con privilegi elevati, la catena termina con l'esecuzione di comandi come root sull'host — una compromissione completa del dispositivo da un punto di partenza non autenticato.
Questa combinazione — non autenticato, remoto, senza interazione dell'utente, esito root — è il motivo per cui il punteggio CVSS arriva a 10.0 e per cui lo sfruttamento ha seguito la divulgazione così in fretta. Chi possiede ISE possiede il sistema che decide l'accesso alla rete: può creare o modificare la policy di accesso, autorizzare i propri dispositivi, disabilitare la segmentazione che lo conteneva, leggere i dati di identità e posture detenuti da ISE e usare il dispositivo come punto d'appoggio duraturo e fidato per muoversi lateralmente. Per un controllo di sicurezza è il peggior fallimento possibile, perché la violazione avviene all'interno proprio del meccanismo installato per prevenirla.
Non esiste flag di funzionalità o impostazione di policy che neutralizzi CVE-2026-76460, ed è per questo che Cisco è esplicita sull'assenza di workaround. Il codice vulnerabile è nel percorso di autenticazione dell'API stessa. Cisco ha rilasciato versioni corrette sui train supportati — ISE e ISE-PIC 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4 — e l'aggiornamento a una di esse è l'unica vera remediation. Come misura provvisoria, mentre pianifichi l'aggiornamento, le infrastructure access control list (iACL) che limitano il traffico verso le interfacce di gestione e API di ISE possono bloccare il percorso remoto di cui un attaccante ha bisogno.
Cosa significa per i team in Italia
La prima lezione è che il controllo dell'identità fa parte della tua superficie d'attacco, non è un sostituto della sua messa in sicurezza. I team si fidano implicitamente dello stack di sicurezza — il NAC, il server di identità, il firewall — e lasciano questi dispositivi fuori dalle valutazioni che conducono contro le proprie applicazioni. Ma un dispositivo raggiungibile da Internet o dalla rete di gestione, con un percorso pre-autenticazione verso il root, è esattamente ciò che un attaccante cerca per primo — e qui concede il controllo della policy di accesso in un solo passo. La stessa disciplina di hardening che applichi alla tua piattaforma Cloud & DevOps — privilegio minimo, esposizione di rete ridotta, pipeline di patch rapide e monitoraggio — deve estendersi alle appliance di identità e di rete, non fermarsi al codice che hai scritto.
La seconda lezione riguarda la velocità di patching come capacità operativa. Quando un bug passa dalla divulgazione al KEV della CISA in breve tempo, è valutato 10.0 e non ha workaround, l'unica variabile che controlli è la rapidità con cui identifichi i nodi interessati e distribuisci la correzione. Le organizzazioni che mantengono un inventario aggiornato degli asset, sanno quali appliance espongono interfacce di gestione o API e possono pianificare un aggiornamento fuori banda in poche ore chiuderanno la falla prima che venga usata contro di loro; chi scopre la propria esposizione durante un incidente, no. Questa prontezza è un processo da costruire in anticipo, non da improvvisare sotto pressione.
Terzo, questo è un evento di conformità e notifica, non solo un ticket IT. ISE governa l'accesso a sistemi che trattano abitualmente dati personali e regolamentati, quindi una compromissione root del dispositivo ricade direttamente nelle aspettative di GDPR, NIS2 e — per il settore finanziario — DORA in materia di controllo degli accessi e remediation rapida e documentata. In Italia, per i soggetti del Perimetro di Sicurezza Nazionale Cibernetica valgono ulteriori obblighi di notifica al CSIRT Italia e all'ACN. Poter dimostrare quali nodi erano interessati, quando hai applicato la patch, se hai usato iACL nel frattempo e quali prove di sfruttamento hai cercato è il fascicolo che autorità di vigilanza e auditor chiederanno per primo.
Cosa fare adesso
- Inventaria ogni nodo ISE. Trova tutti i deployment Cisco ISE e ISE-PIC, incluse le istanze di standby, secondarie e di laboratorio — quelle assenti dal tuo elenco sono quelle che restano non aggiornate.
- Applica la patch subito. Applica la versione corretta per il tuo train — 3.1 P12, 3.2 P11, 3.3 P12, 3.4 P7 o 3.5 P4. Non c'è alcun workaround, quindi trattala come una modifica d'emergenza, non come una finestra di manutenzione pianificata.
- Limita l'accesso nel frattempo. Finché ogni nodo non è aggiornato, usa le iACL per limitare il traffico verso le interfacce di gestione e API di ISE alle reti amministrative fidate, tagliando il percorso remoto di cui un attaccante ha bisogno.
- Cerca tracce di sfruttamento. Esamina i log di ISE e di rete alla ricerca di chiamate API inattese, policy di accesso nuove o alterate, dispositivi autorizzati sconosciuti e attività root. Se un nodo era raggiungibile e non aggiornato, indaga presumendo che possa già essere compromesso — e ricorda che un attaccante root può aver manomesso i log.
- Contieni e ruota, poi testa. Ruota credenziali, certificati e segreti che ISE deteneva o poteva osservare, verifica l'integrità delle tue policy di accesso e includi le appliance di identità e di accesso alla rete nel perimetro del tuo prossimo penetration test, così che il prossimo inserimento nel KEV inneschi l'azione automaticamente.
Domande frequenti
Che cos'è la CVE-2026-76460?
È una vulnerabilità critica di bypass dell'autenticazione (CVSS 10.0) in un'API di Cisco Identity Services Engine (ISE) e di ISE Passive Identity Connector (ISE-PIC). Controlli di autenticazione insufficienti su uno specifico endpoint lasciano che un attaccante remoto non autenticato invii una richiesta forgiata, eluda l'interfaccia di gestione web e, in ultima analisi, esegua comandi come root. Entrambi i prodotti sono interessati indipendentemente dalla configurazione e non esiste alcun workaround.
Come viene sfruttata la falla?
L'attacco non richiede autenticazione né interazione dal lato del bersaglio. Un attaccante invia una richiesta appositamente forgiata a un endpoint API vulnerabile che non applica l'autenticazione; quel bypass apre la superficie di gestione e uno sfruttamento riuscito termina con l'esecuzione di comandi come root. Poiché ISE decide chi e cosa può connettersi alla rete, controllarlo significa controllare la policy di accesso alla rete.
Quali versioni sono interessate e quali sono le correzioni?
Cisco ISE e ISE-PIC sono interessati indipendentemente dalla configurazione. Cisco ha rilasciato versioni corrette: ISE/ISE-PIC 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. Non c'è alcun workaround; applicare la versione corretta è l'unica remediation. Come scudo provvisorio, le iACL che limitano il traffico verso il dispositivo interessato possono impedire lo sfruttamento remoto.
La CVE-2026-76460 viene sfruttata in the wild?
Sì. Il PSIRT di Cisco ha confermato di essere a conoscenza di sfruttamento attivo e la CISA ha aggiunto la falla al catalogo statunitense Known Exploited Vulnerabilities a settembre 2026, obbligando le agenzie federali civili a porvi rimedio entro una scadenza stabilita. L'inserimento nel KEV significa attacchi confermati, quindi ogni organizzazione con un deployment ISE interessato dovrebbe trattare la patch come un'emergenza.
Cosa dovrebbero fare i team adesso?
Inventaria ogni nodo ISE e ISE-PIC, incluse le istanze di standby e di laboratorio, e applica subito la versione corretta per il tuo train. Mentre applichi la patch, usa le iACL per limitare l'accesso di gestione e API a reti fidate. Esamina i log alla ricerca di chiamate API inattese, policy di accesso alterate e attività root, e presumi la compromissione se il dispositivo era raggiungibile e non aggiornato. Ruota credenziali e certificati detenuti da ISE e includi le appliance di identità e di rete nel tuo prossimo penetration test.
Fonti
SecurityWeek — Active Exploitation Triggers Emergency Patch for Cisco ISE Zero-Day
Security Affairs — CISA Adds Acronis Backup, Cisco ISE, and Google Pixel Flaws to KEV Catalog
CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog