Cisco ha lanzado actualizaciones urgentes para corregir una vulnerabilidad de severidad máxima (CVE-2026-76460) en Cisco ISE que está siendo explotada activamente. El fallo permite a atacantes remotos evadir la autenticación y obtener acceso no autorizado al sistema a través de una API. Debido a que no existen soluciones temporales, la empresa recomienda encarecidamente actualizar el software a las versiones corregidas de inmediato.





Cisco ha publicado actualizaciones de seguridad para solucionar una vulnerabilidad de severidad máxima en Identity Services Engine que los atacantes están explotando activamente.

Cisco ISE es una plataforma de políticas centralizada que los administradores de TI utilizan para gestionar endpoints, usuarios y el acceso de dispositivos a los recursos de la red, a menudo mientras aplican modelos de seguridad Zero Trust.

El fallo de seguridad (rastreado como CVE-2026-76460) permite a atacantes remotos omitir la autenticación explotando una debilidad en una API de Cisco Identity Services Engine (ISE) y Cisco ISE Passive Identity Connector (ISE-PIC), independientemente de la configuración.

"Esta vulnerabilidad se debe a un control de autenticación insuficiente en un endpoint de la API. Un atacante podría explotar esta vulnerabilidad enviando una solicitud manipulada a un endpoint de API afectado", explicó la empresa [fuente]. "Una explotación exitosa podría permitir al atacante obtener acceso no autorizado al dispositivo afectado omitiendo la interfaz de gestión basada en web".

Cisco también advirtió a los clientes el miércoles que aseguraran sus sistemas, ya que su Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) marcó el CVE-2026-76460 como activamente explotado.

"El PSIRT de Cisco tiene conocimiento de la explotación activa de esta vulnerabilidad. Cisco recomienda encarecidamente que los clientes actualicen a una versión de software corregida para remediar esta vulnerabilidad".

Dado que no existen soluciones alternativas, la aplicación de las actualizaciones de seguridad es la única línea de acción recomendada para proteger las redes de los ataques en curso.

Cisco ISE o ISE-PIC Versión / Primera Versión Corregida
3.1 3.1 Patch 12
3.2 3.2 Patch 11
3.3 3.3 Patch 12
3.4 3.4 Patch 7
3.5 3.5 Patch 4

Cisco compartió indicadores de compromiso y aconsejó a los equipos de seguridad buscar nombres de usuario sospechosos en los archivos access.log de cada nodo y recomendó "encarecidamente" reinstalar la imagen de los nodos y restaurarlos a partir de copias de seguridad si se sospecha de actividad maliciosa.

Los administradores también deben cotejar los registros del firewall y de la red en busca de signos de actividad sospechosa (incluyendo descargas y cargas desde y hacia direcciones IP externas o maliciosas), ya que los atacantes pueden eliminar la evidencia de la explotación tras obtener la ejecución de comandos con privilegios de root.

Ayer, Cisco parcheó un segundo fallo de omisión de autenticación de severidad máxima (CVE-2026-76423) y otros cinco problemas de seguridad críticos [fuente] (rastreados como CVE-2026-76460, CVE-2026-20176, CVE-2026-20211, CVE-2026-20307 y CVE-2026-20284) en Cisco ISE y Cisco ISE-PIC, aunque estos aún no han sido marcados como explotados activamente.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) también ordenó a las agencias federales parchear sus sistemas contra el CVE-2026-76460 en un plazo de tres días después de añadirlo [fuente] a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) [fuente] el miércoles.

En julio de 2025, actores de amenazas explotaron otro zero-day de Cisco ISE (CVE-2025-20337) con una puntuación de severidad máxima en ataques de ejecución remota de código para desplegar una web shell personalizada "IdentityAuditAction" disfrazada de componente legítimo de ISE.

En los últimos cinco años, la CISA ha etiquetado 99 fallos de seguridad en productos de Cisco [fuente] como explotados activamente en ataques, incluyendo siete abusados en ataques de ransomware.

Fuente:
BleepingComputer