Denominada CVE-2026-20029, la vulnerabilidad surge de un fallo en el análisis de XML en la interfaz de gestión web y tiene una puntuación CVSS aún no finalizada, pero está marcada como de alta gravedad debido a su potencial para exponer datos.

Un atacante con credenciales de administrador válidas puede subir un archivo XML malicioso, engañando al sistema para que lea archivos arbitrarios del sistema operativo subyacente. Esto podría filtrar secretos como datos de configuración, credenciales u otra información que debería estar restringida incluso para los administradores.

“La explotación exitosa otorga acceso a archivos que deberían permanecer ocultos”, advirtió Cisco en su aviso, enfatizando que no existen soluciones alternativas.

Todas las versiones de Cisco ISE e ISE-PIC son vulnerables, independientemente de su configuración. El Cisco Product Security Incident Response Team (PSIRT) confirmó que ningún otro producto está afectado. El código de explotación de prueba de concepto (PoC) está disponible públicamente, pero el PSIRT no ha reportado ataques maliciosos hasta la fecha.

El investigador Bobby Gould de Trend Micro en Zero Day Initiative merece el crédito por el descubrimiento. Las organizaciones que dependen del ISE para el control de acceso a la red, especialmente en entornos empresariales o en la nube, enfrentan un riesgo mayor si el ISE no está parcheado.

Parches y actualización para la vulnerabilidad de ISE

Cisco recomienda actualizar de inmediato. Aquí tienes un desglose de las versiones corregidas:

Puedes actualizar siguiendo las guías de la página de soporte de ISE de Cisco. El PSIRT solo valida las versiones listadas.

ISE impulsa arquitecturas de confianza cero, lo que convierte este bug de tipo XXE en una pesadilla para sectores con altos requisitos de cumplimiento, como finanzas y salud. Los atacantes podrían encadenarlo con escaladas de privilegios para lograr brechas más profundas. Con el PoC disponible, los actores de amenazas podrían armarlo pronto.