Cisco ha publicado parches de emergencia para CVE-2026-76460, una vulnerabilidad de omisión de autenticación explotada activamente que afecta a Cisco Identity Services Engine y a Cisco ISE Passive Identity Connector. Unas solicitudes manipuladas dirigidas a un endpoint de la API de gestión pueden eludir la interfaz web habitual y otorgar privilegios de root a un atacante no autenticado. La CISA ha añadido este fallo de gravedad máxima a su catálogo Known Exploited Vulnerabilities.
Por qué esta vulnerabilidad es crítica
Cisco ISE da soporte al control de acceso a la red y a la aplicación de políticas en la empresa, por lo que su compromiso puede afectar a una parte especialmente sensible de la infraestructura. CVE-2026-76460 afecta a Cisco ISE e ISE-PIC en todas sus configuraciones.
La explotación no requiere autenticación.
Los atacantes pueden eludir la interfaz web de gestión habitual a través de un endpoint de la API.
Una explotación con éxito otorga privilegios de root.
El acceso root podría permitir a un atacante modificar el sistema o borrar las pruebas locales del compromiso.
Versiones corregidas de Cisco ISE
La actualización necesaria depende de la versión principal de Cisco ISE o ISE-PIC en uso. Cisco ha corregido la vulnerabilidad en las siguientes versiones:
3.1 Patch 12
3.2 Patch 11
3.3 Patch 12
3.4 Patch 7
3.5 Patch 4
Las organizaciones deben identificar primero cada nodo afectado y su versión de software actual y, después, comprobar que se ha aplicado el parche adecuado. Las interfaces de gestión expuestas a Internet o accesibles de forma amplia requieren una urgencia especial, ya que la explotación ya se ha confirmado en entornos reales.
Búsqueda de compromisos y recuperación
Cisco aconseja a los administradores examinar el archivo access.log en busca de nombres de usuario sospechosos. Como un atacante con privilegios de root podría borrar o manipular los registros locales, los defensores también deben revisar los registros de red y de firewall situados aguas arriba en busca de subidas, descargas o conexiones sospechosas con direcciones IP no autorizadas.
Si se sospecha de actividad maliciosa, Cisco recomienda encarecidamente reinstalar la imagen de los nodos afectados y restaurar las copias de seguridad de configuración cuando sea necesario. También deben utilizarse listas de control de acceso de infraestructura para restringir qué sistemas pueden enviar tráfico de gestión y de control a los equipos afectados.
Una actualización de seguridad más amplia de Cisco ISE
CVE-2026-76460 es uno de los numerosos problemas corregidos tras la revisión de las plataformas ISE e ISE-PIC por parte de Cisco. Las versiones resultantes corrigen 21 vulnerabilidades críticas, entre ellas fallos de ejecución remota de código y otros fallos relacionados con la API, además de tres vulnerabilidades de gravedad alta y 18 de gravedad media.
Fue también el segundo parche de emergencia de Cisco contra un día cero en la misma semana, tras una vulnerabilidad crítica en Secure Email Gateway. Por otra parte, Cisco publicó correcciones para fallos de gravedad crítica y media en Secure Firewall Adaptive Security Appliance, Secure Firewall Threat Defense y Secure Firewall Management Center Software.
Cómo ayuda ConnectMyAssets
ConnectMyAssets ayuda a los equipos de infraestructura a convertir un aviso urgente en un proceso de remediación controlado en los equipos Cisco gestionados y en el resto de la red multifabricante.
La CMDB dinámica utiliza el descubrimiento automático para identificar los equipos gestionados y mantener el inventario actualizado, lo que ayuda a localizar los sistemas potencialmente afectados.
El seguimiento de CVE asocia la exposición a vulnerabilidades con cada equipo, para que los equipos puedan priorizar la remediación de CVE-2026-76460 y seguir los nodos afectados durante toda la respuesta.
Copias de seguridad e historial conserva las versiones de configuración con verificación SHA256, lo que facilita la recuperación cuando hay que reinstalar la imagen de un equipo y restaurarlo.
La gestión de firewalls ayuda a revisar las políticas de acceso de los distintos fabricantes y a identificar reglas ensombrecidas o redundantes, al tiempo que se restringe el acceso al plano de gestión.
El motor de cumplimiento ofrece una puntuación ponderada frente a marcos como NIS2, ISO 27001, PCI-DSS, CISA y NIST, lo que ayuda a documentar el estado de la remediación.
Automatización y ZTP pueden estandarizar los cambios aprobados en los equipos gestionados, siempre que los flujos se hayan validado para los equipos y versiones correspondientes.
ConnectMyAssets se ejecuta como una OVA on-premise reforzada, de modo que los datos de equipos, vulnerabilidades, configuraciones y cumplimiento permanecen dentro del entorno de la organización.
Fuente: Network World
