O que aconteceu
A Cisco publicou alerta urgente para a CVE-2026-76460, uma vulnerabilidade de gravidade máxima (CVSS 10.0) no Identity Services Engine (ISE) e ISE-PIC. A falha permite que um atacante não autenticado contorne completamente os mecanismos de autenticação da interface de gerenciamento via API, obtendo execução de comandos com privilégios root. A CISA confirmou exploração ativa e estabeleceu prazo federal de correção para 19 de setembro.
Como funciona o ataque
O problema está em controles insuficientes de autenticação em um endpoint específico da API do ISE. Um atacante remoto envia uma única requisição manipulada que ignora a camada de autenticação da interface web de gerenciamento. Com isso, ele obtém acesso root ao sistema, podendo alterar configurações, extrair credenciais armazenadas e realizar movimentação lateral pela rede corporativa.
A Cisco descobriu a falha enquanto investigava um caso de suporte de um cliente, o que indica que pelo menos uma rede já havia sido comprometida antes da divulgação pública. Não existe workaround disponível, tornando a aplicação do patch a única medida eficaz.
O ISE como alvo de alto valor
O Cisco ISE é a plataforma de Network Access Control (NAC) mais adotada em ambientes corporativos de médio e grande porte. Ele controla quem e o que pode acessar a rede, aplicando políticas de segurança baseadas em identidade. Comprometer o ISE equivale a comprometer o ponto central de confiança de toda a infraestrutura de rede.
Para agravar o cenário, na mesma semana a Cisco divulgou a CVE-2026-76461 (CVSS 9.8), uma falha de injeção SQL no Cisco Secure Email Gateway que também permite execução de comandos como root. Esta vulnerabilidade igualmente teve exploração ativa confirmada e foi adicionada ao catálogo KEV da CISA em 14 de setembro.
O relatório semanal do Security Online registrou 4.378 novas vulnerabilidades entre 14 e 20 de setembro, com 369 classificadas como críticas. A CVE-2026-76460 foi uma das 10 marcadas como ativamente exploradas na semana, reforçando que o volume de ameaças críticas em produtos de rede enterprise segue em escalada.
Versões afetadas e patches disponíveis
A falha afeta múltiplas versões do ISE. A Cisco liberou correções para:
- ISE 3.1 Patch 12
- ISE 3.2 Patch 11
- ISE 3.3 Patch 12
- ISE 3.4 Patch 7
- ISE 3.5 Patch 4
A versão 3.0 do ISE, que já atingiu fim de ciclo de manutenção, permanece exposta e sem correção. Organizações que ainda utilizam essa versão precisam migrar imediatamente para uma release com suporte.
O que fazer agora
Para organizações que não consigam aplicar o patch de imediato, a Cisco recomenda:
- Restringir o tráfego de gerenciamento com ACLs de infraestrutura, limitando o acesso aos endpoints de API do ISE
- Revisar os logs de acesso (
access.log) em busca de requisições anômalas - Recriar a imagem de qualquer node que apresente sinais de comprometimento
Equipes que utilizam ferramentas de monitoramento como Zabbix ou Wazuh podem configurar alertas para requisições suspeitas nos endpoints de API do ISE, criando uma camada adicional de detecção durante a janela de aplicação do patch.
O que observar daqui
Uma CVE com nota máxima e exploração ativa confirmada em uma plataforma tão central quanto o Cisco ISE não admite espera. O fato de a Cisco ter descoberto a falha durante investigação de um incidente real reforça que atacantes já exploravam o vetor antes da divulgação pública. Para times de infraestrutura no Brasil, especialmente em setores regulados como financeiro e saúde, a janela de atuação é imediata. O padrão que se desenha em 2026, com volumes recordes de CVEs críticas em produtos de rede enterprise (ISE, Secure Email Gateway, FortiGate), exige que equipes de segurança tratem patch management não como rotina mensal, mas como capacidade operacional contínua.