Cisco revela vulnerabilidades zero-day en la autenticación de APIs
Cisco corrigió la CVE-2026-76460, un zero-day de severidad máxima en Identity Services Engine (ISE) que permite saltarse la autenticación de una API y obtener privilegios de root. La vulnerabilidad ya se explotaba en ataques activos y CISA la sumó a su catálogo KEV el mismo día del parche.
Cisco publicó parches para varias vulnerabilidades de autenticación en Identity Services Engine (ISE) e ISE Passive Identity Connector (ISE-PIC). La más grave es la CVE-2026-76460, un zero-day de severidad máxima que ya se explotaba en ataques activos cuando se divulgó. La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) la agregó a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el mismo día. Afecta a ISE e ISE-PIC sin importar la configuración del equipo, así que cualquier organización que use la plataforma para control de acceso a la red está expuesta.
Qué permite la CVE-2026-76460
El origen, según Cisco, es un control de autenticación insuficiente en un punto de conexión de la API de ISE. Un atacante remoto puede enviar una solicitud especialmente elaborada a ese endpoint y obtener acceso no autorizado al dispositivo, saltándose la interfaz de gestión web. No necesita credenciales ni interacción de un usuario, y el resultado es ejecución de comandos con privilegios de root.
Con ese nivel de acceso, advirtió Cisco, el atacante puede borrar u ocultar evidencias e indicadores de compromiso en el propio equipo. No se sabe quién está detrás de la explotación ni qué tan extendida es.
El problema de comprometer al que autentica a todos
La gravedad va más allá del equipo afectado. Johannes Ullrich, fundador del SANS Internet Storm Center, explicó que ISE es usado por otras APIs de Cisco para autenticación y control de acceso. Quien lo controle puede desactivarlo, entrar a distintas redes o suplantar hosts, y las aplicaciones que confían en sus decisiones pasarían a obedecer a un sistema comprometido. Ullrich lo comparó con reemplazar al guardia de un edificio por un impostor: los de adentro confían en las credenciales porque creen que alguien ya las revisó.
Emma Stevens, de BitSight, apuntó en la misma dirección: ISE decide qué usuarios y dispositivos se conectan y a qué acceden después, de modo que un acceso root ahí arriesga la visibilidad, la integridad y la disponibilidad de toda la red.
Un patrón que se repite en Cisco
Ullrich enmarcó el caso en un problema de toda la industria: APIs que antes no eran accesibles quedan expuestas para alimentar interfaces web modernas y en el camino pierden autenticación y control de acceso. Cisco ya había tenido dos casos similares ese año. En mayo divulgó la CVE-2026-20223, en las API REST internas de Secure Workload, con CVSS 10 sobre 10. En febrero, la CVE-2026-20129 en Catalyst SD-WAN Manager, con CVSS 9.8, que permitía ejecutar comandos con privilegios del rol netadmin.
Por qué importa y qué hacer
ISE suele estar en el centro de la arquitectura de identidad y de confianza cero, por lo que un compromiso aquí no se limita a un servidor: puede convertir al sistema que otorga accesos en una puerta abierta para el resto de la red. Que la vulnerabilidad no requiera autenticación y que el atacante pueda borrar sus rastros obliga a tratar cualquier instancia expuesta y sin parchear como potencialmente comprometida. Las organizaciones de la región que usan ISE para NAC en redes corporativas o de campus deberían priorizarlo por encima del ciclo normal de parches.
- Actualiza ISE e ISE-PIC a una versión corregida; Cisco publicó parches para las ramas 3.1 a 3.5.
- Migra cualquier instalación en la versión 3.0, que ya no tiene soporte, a una rama con parche.
- Aplica listas de control de acceso a la infraestructura (iACLs) para permitir solo el tráfico de gestión y de plano de control necesario, como medida temporal mientras se actualiza.
- Revisa los registros de red y del firewall, fuera del propio ISE, en busca de cargas inesperadas desde el equipo hacia IP externas o descargas desde direcciones maliciosas.
- Inventaría las APIs de gestión expuestas de tus plataformas de red y confirma que cada endpoint exige autenticación.
Relacionado:
Nueva vulnerabilidad de día cero en Cisco SD-WAN (CVE-2026-76504)
SectopRAT regresa ocultándose dentro de una aplicación legítima
Aparatos SonicWall SMA 1000 bajo ataque por vulnerabilidades zero-day
Nota elaborada por Ciberseguridad en español a partir de información publicada por Dark Reading. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario