Due giorni dopo l'avviso sullo zero-day dell'email gateway, Cisco ha confermato un secondo difetto sfruttato attivamente: CVE-2026-76460, un bypass di autenticazione in un endpoint API di Identity Services Engine (ISE) e di ISE Passive Identity Connector (ISE-PIC). Punteggio CVSS 10.0, nessun workaround, correzione già disponibile. CISA lo ha inserito nel catalogo KEV il 16 settembre imponendo alle agenzie federali statunitensi la correzione entro tre giorni — una finestra insolitamente stretta, che dà la misura di come l'agenzia valuti l'urgenza.

Cosa è successo

Cisco descrive la causa in una riga: controllo di autenticazione insufficiente su un endpoint API. Un attaccante remoto e non autenticato invia una richiesta appositamente costruita a quell'endpoint e ottiene accesso al dispositivo aggirando l'interfaccia di amministrazione web. Nessuna credenziale, nessuna interazione, e — secondo quanto riportato — indipendentemente dalla configurazione: non esiste un assetto «sicuro» che metta al riparo.

Il PSIRT di Cisco ha dichiarato di essere a conoscenza di sfruttamento attivo. L'azienda, come di consueto, non ha diffuso dettagli sugli attacchi, sugli attori né sui settori colpiti, ma ha rilasciato indicatori di compromissione. E ha aggiunto un'indicazione che merita di essere letta con attenzione: se si sospetta attività malevola, la raccomandazione è reinstallare da zero i nodi coinvolti e ripristinare dal backup di configurazione. Quando un fornitore consiglia il re-imaging invece della bonifica, sta dicendo che non si fida della propria capacità di garantire che il sistema sia pulito.

Coerente con questo, Cisco avverte che gli attaccanti possono cancellare le tracce dopo aver ottenuto esecuzione di comandi con privilegi di root, e invita quindi a incrociare i log di rete e di firewall esterni al dispositivo, cercando caricamenti inattesi verso indirizzi IP esterni o scaricamenti da indirizzi malevoli.

Le versioni interessate vanno dalla 3.0 alla 3.5. Le prime release corrette sono 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. La 3.0 non è più mantenuta; 3.1 e 3.2 ricevono solo correzioni critiche, e Cisco raccomanda la migrazione verso 3.3, 3.4 o 3.5.

Da notare che il giorno precedente Cisco aveva già corretto un altro bypass di autenticazione di gravità massima su ISE, CVE-2026-76423, insieme ad altri difetti critici: quelli, al momento, non risultano sfruttati. Alcuni sono stati individuati da Cisco stessa nei propri test interni con l'ausilio di modelli AI di frontiera — un dettaglio che spiega in parte l'infittirsi degli avvisi su questa famiglia di prodotti.

Cosa significa per le aziende italiane

ISE non è un apparato qualsiasi: è il cervello del controllo degli accessi di rete. Autentica gli utenti, profila i dispositivi, verifica la postura di sicurezza degli endpoint, decide chi entra in quale VLAN e con quali permessi, e registra tutto. Nelle architetture Zero Trust è il punto in cui le politiche diventano decisioni operative. Chi lo controlla non ottiene un server in più: ottiene la facoltà di riscrivere le regole di chi può stare dentro la rete.

Questo è il motivo per cui la compromissione di ISE non si valuta con il metro di un server applicativo. Un attaccante con accesso amministrativo può creare identità legittime, autorizzare dispositivi propri, spostare porte e VLAN, e disattivare i controlli di postura che l'azienda usa per bloccare le macchine non conformi. Tutto il traffico che ne deriva è, dal punto di vista della rete, perfettamente autorizzato. Non ci sono anomalie da rilevare perché l'anomalia è stata resa politica.

In Italia ISE è diffuso soprattutto in tre ambienti: grandi aziende con reti campus estese, sanità — dove il controllo degli accessi ai dispositivi biomedicali è spesso l'unico presidio fra rete clinica e rete amministrativa — e pubblica amministrazione, dove le gare pluriennali hanno consolidato lo stack Cisco. Sono precisamente i settori inclusi negli allegati del decreto legislativo 138/2024 che recepisce NIS2. Per questi soggetti la vicenda ha tre implicazioni concrete.

La prima è di merito: una falla sfruttata attivamente su un sistema di controllo accessi è il caso da manuale in cui l'articolo 21 richiede misure di gestione delle vulnerabilità documentate e tempestive. La seconda è procedurale: se emergono evidenze di compromissione, scatta la valutazione sulla significatività dell'incidente, con pre-notifica al CSIRT Italia entro 24 ore e notifica entro 72. La terza riguarda i dati: dal momento che ISE conserva registri di autenticazione, identificativi utente, indirizzi MAC e informazioni sui dispositivi personali collegati alla rete aziendale, un accesso non autorizzato ai suoi log è una violazione di dati personali a tutti gli effetti, da valutare ai sensi degli articoli 33 e 34 del GDPR.

C'è poi un aspetto di pianificazione che tocca da vicino gli ambienti sanitari e industriali. ISE è un sistema che si aggiorna in finestre concordate, perché il rischio percepito di una patch è lasciare fuori dalla rete mezzo ospedale. Il risultato è che le patch su questi apparati slittano di settimane. Con uno sfruttamento attivo in corso e nessun workaround disponibile, quel calcolo va rifatto: l'alternativa non è «patch adesso o patch fra un mese», è «patch adesso o assumere il rischio che il controllo accessi sia già in mano a qualcun altro».

Cosa fare subito

  • Aggiornare alla prima release corretta: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 o 3.5 Patch 4. Non esistono mitigazioni alternative.
  • Se si è ancora su ISE 3.0, pianificare la migrazione: la versione non è più mantenuta e non riceverà la correzione.
  • Verificare gli indicatori di compromissione indicati da Cisco: esaminare access.log alla ricerca di nomi utente sospetti, su ogni nodo del deployment, non solo sul primario. La presenza di voci anomale va trattata come segnale di attività malevola.
  • Incrociare i log di rete e di firewall raccolti fuori dal dispositivo: caricamenti inattesi da ISE verso indirizzi IP esterni, scaricamenti da indirizzi noti come malevoli, sessioni amministrative fuori orario. Un attaccante con root può ripulire i log locali, non quelli altrui.
  • Se si sospetta compromissione, seguire l'indicazione del fornitore: reinstallare i nodi da zero e ripristinare dalla configurazione di backup. La bonifica selettiva non è una strada raccomandata in questo caso.
  • Verificare che l'interfaccia di amministrazione di ISE non sia raggiungibile da reti non necessarie. Non è una mitigazione della falla — l'attacco parte da un endpoint API — ma riduce la platea di chi può provarci.
  • Rivedere gli account amministrativi e le identità configurate dopo l'applicazione della patch: creazione di utenti, modifiche alle politiche di autorizzazione, endpoint aggiunti alle liste consentite. Un bypass che precede la patch lascia effetti che la patch non rimuove.
  • Applicare, nella stessa finestra, anche le correzioni per CVE-2026-76423 e per gli altri difetti critici pubblicati contestualmente. Riaprire una finestra di manutenzione su ISE fra due settimane è più costoso che estenderla di un'ora oggi.

Vale la pena chiudere con un'osservazione che va oltre il singolo avviso. Negli ultimi cinque anni CISA ha classificato 99 vulnerabilità di prodotti Cisco come sfruttate attivamente, sette delle quali abusate in attacchi ransomware. Gli apparati di sicurezza perimetrale e di controllo accessi sono diventati un bersaglio primario proprio perché stanno al confine, vedono tutto e vengono aggiornati poco. Chi li tratta come infrastruttura stabile, da toccare il meno possibile, sta applicando una logica che gli attaccanti hanno smesso di rispettare da tempo.