Cisco ISE: falha CVSS 10 explorada e CISA dá 3 dias para patch
Bypass de autenticação em API do Identity Services Engine dá acesso root sem credenciais. Cisco não oferece workaround, e CISA incluiu a falha no KEV com prazo de 19 de setembro.
A Cisco divulgou em 17 de setembro que atacantes estão explorando ativamente uma falha CVSS 10.0 no Identity Services Engine (ISE), o servidor de políticas de acesso à rede que roda em bancos, operadoras e agências públicas ao redor do mundo. O bug, identificado como CVE-2026-76460, permite que um invasor sem credenciais envie uma requisição forjada a um endpoint da API e obtenha execução de comandos com privilégio root, sem passar pela interface web de administração.
A equipe de resposta a incidentes da própria Cisco (PSIRT) descobriu o problema em um chamado de suporte de cliente, segundo relatos consistentes entre o SecurityWeek, o The Hacker News e o The Register. Não há workaround: o único caminho é migrar para 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 ou 3.5 Patch 4. Todas as versões entre 3.0 e 3.5 do ISE e do ISE Passive Identity Connector estão afetadas, independentemente da configuração de rede.
CISA aciona a diretiva emergencial
A Cybersecurity and Infrastructure Security Agency incluiu o CVE-2026-76460 no catálogo Known Exploited Vulnerabilities em 16 de setembro e emitiu ordem para que as agências do Executivo civil dos EUA apliquem o patch em três dias, com prazo em 19 de setembro. É a segunda diretiva emergencial da CISA sobre falhas Cisco em pouco mais de duas semanas, um sinal de que o parque de dispositivos de identidade e borda do fornecedor virou alvo prioritário para grupos com capacidade de explorar zero-days.
O risco vai além do patch atrasado. O ISE guarda políticas de admissão para VPN, Wi-Fi corporativo e acesso 802.1X, e um invasor com root pode apagar logs, criar usuários fantasmas e emitir certificados internos válidos. Isso significa perda de evidência forense justamente onde a auditoria pós-incidente costuma reconstruir a linha do tempo do ataque, o que compromete tanto a resposta imediata quanto a comunicação obrigatória a reguladores em bancos e operadoras.
Leitura para bancos e operadoras fora dos EUA
O alerta da CISA vincula apenas agências federais americanas, mas o parque instalado do ISE é global. Operadoras europeias como Deutsche Telekom, Orange e Vodafone usam o produto em núcleos de autenticação de rede. Na Índia, integradores como TCS e Infosys mantêm ambientes ISE de clientes financeiros em centros de entrega em Bangalore e Pune. Bancos brasileiros também operam o ISE em segmentos de acesso corporativo e em redes de agências, o que coloca times de segurança em regime de janela curta para aplicar patch em ambientes com pouca tolerância a downtime.
O problema prático em bancos e telcos é a mesma armadilha vista na onda de exploração dos SD-WAN Cisco no primeiro semestre: ambientes de produção com clusters ativos-passivos exigem manutenção agendada, e muitas equipes preferem aceitar o risco por 48h a interromper autenticação de milhares de usuários. Segundo o SecurityWeek, é o sexto zero-day exploratório na base Cisco em 2026, uma frequência que quebra o argumento de que updates podem esperar pela próxima janela mensal. Cinco desses seis casos afetaram produtos da linha de identidade e borda de rede, e não a stack de colaboração ou servidores tradicionais.
O que muda para o CIO
Para diretores de tecnologia e segurança, o CVE-2026-76460 tem três implicações imediatas. A primeira é reconhecer que a superfície de identidade agora é alvo tanto quanto o perímetro de dados. Servidores AAA foram tratados por anos como infraestrutura auxiliar, e o incidente mostra que um bug em uma API de administração pode dar mais acesso a um invasor do que uma phishing bem-sucedida contra um usuário de alto privilégio.
A segunda é a janela entre disclosure e exploração. A Cisco confirmou que a exploração começou antes do aviso público, o que reduz o valor de estratégias baseadas em SLA de 30 dias para produção. A terceira é o custo real do vendor lock-in em fornecedores de identidade de rede: a base de código do ISE compartilhou versões afetadas entre 3.0 e 3.5, sem opção de mitigação em runtime, obrigando parada programada em cluster de admissão de rede.
Quem gerencia ambientes híbridos deve rodar ao menos duas ações antes de terça-feira: verificar exposição do endpoint ERS/APIs de ISE à internet e correlacionar logs de acessos administrativos com IPs fora da faixa esperada. O padrão de zero-days em plataformas de identidade neste ano coloca uma questão desconfortável para CISOs que ainda tratam servidores AAA como caixa preta operada pelo time de rede: o custo de mover essa superfície para debaixo do mesmo regime de patch das aplicações de negócio deixou de ser opcional.