CVE-2026-76460: omisión de autenticación CVSS 10.0 en Cisco ISE

El 16 de septiembre de 2026, Cisco divulgó CVE-2026-76460, una omisión de autenticación con CVSS 10.0 en Cisco Identity Services Engine (ISE) que ya está en explotación activa. No hay solución alternativa. CISA la añadió ese mismo día al catálogo Known Exploited Vulnerabilities con un plazo federal de remediación hasta el 19 de septiembre: tres días desde la divulgación. Si tu organización usa ISE para el control de acceso a la red, 802.1X o RADIUS, es una vulnerabilidad para dejar todo lo demás.

Qué hace CVE-2026-76460

El fallo es un control de autenticación insuficiente en un endpoint de API de Cisco ISE y de ISE Passive Identity Connector (ISE-PIC). Un atacante remoto sin autenticar puede enviar una solicitud manipulada al endpoint vulnerable, omitir por completo la autenticación y ejecutar comandos arbitrarios como root en el nodo ISE. No necesita credenciales. No requiere interacción del usuario. La complejidad del ataque es baja.

En términos de CVSS 3.1, es lo peor que puede ser una vulnerabilidad de red:

ISE es el motor de políticas que decide quién y qué entra en tu red. Comprometer ISE como root significa que un atacante puede modificar las políticas de acceso, pivotar a cualquier segmento de red que controle ISE, extraer los secretos compartidos de RADIUS y establecer persistencia en la capa de infraestructura, donde las herramientas de detección de endpoints no tienen visibilidad.

Versiones afectadas y parches

Todas las versiones de ISE con soporte tienen una corrección disponible. ISE 3.0 y anteriores han llegado al final de su vida útil y no recibirán parche: hay que migrarlas.

Cisco ha confirmado que no hay solución alternativa. Ni ACL, ni cambio de configuración, ni opción para desactivar la API. Parchear es la única remediación. El mes siguiente trajo otro CVSS 10.0 en infraestructura básica, GitLab CVE-2026-110264, en el que los equipos que parchearon una vez tuvieron que parchear de nuevo.

Cómo detectar la explotación

El aviso de Cisco incluye un paso de detección concreto. Desde la CLI de administración de ISE:

admin# show logging application ise-kong/access.log | include dummyuser

Cualquier entrada que contenga dummyuser indica intentos de explotación contra el endpoint de API vulnerable. La cadena aparece en la solicitud manipulada del atacante y la registra el gateway de API de ISE (Kong) antes de que surta efecto la omisión de autenticación.

Si encuentras coincidencias: el nodo está comprometido. Parchear un nodo comprometido no basta. El atacante tuvo acceso root y puede haber instalado mecanismos de persistencia, modificado la configuración de ISE, extraído credenciales o manipulado los logs. La respuesta correcta es:

1. Aísla el nodo ISE de la red
2. Captura los datos forenses (logs, imagen de disco) antes de remediar
3. Reinstala el nodo desde una copia de seguridad conocida y fiable o con una instalación limpia
4. Aplica la versión parcheada antes de volver a conectarlo
5. Rota todos los secretos compartidos de RADIUS, las claves de TACACS+ y cualquier certificado almacenado en el nodo
6. Audita los cambios de políticas de ISE en busca de modificaciones no autorizadas

Cronología

Un plazo de tres días de CISA es excepcional. El plazo habitual del KEV es de 21 días. Tres días indican que la explotación no es teórica: está lo bastante extendida como para que CISA considere un riesgo inmediato los sistemas federales sin parchear.

Qué hacer ahora mismo

1. Identifica todos los nodos ISE de tu entorno: producción, laboratorio, recuperación ante desastres, instancias de desarrollo olvidadas. La superficie de ataque es cualquier nodo ISE alcanzable por la red.
2. Ejecuta el comando de detección en todos los nodos: show logging application ise-kong/access.log | include dummyuser
3. Si está limpio: parchea de inmediato a la versión corregida para tu versión (ver la tabla de arriba). No esperes a una ventana de mantenimiento: el plazo de CISA es el 19 de septiembre.
4. Si está comprometido: aísla, toma la imagen, reinstala. Primero el análisis forense, después una instalación limpia con la versión parcheada y luego la rotación de credenciales.
5. Si usas ISE 3.0 o anterior: migra. No hay parche y no lo habrá.
6. Parchea el resto del lote de septiembre: en el mismo ciclo se publicaron 41 CVE de ISE y 28 de Secure Firewall. Las versiones corregidas los cubren todos.

El panorama general: ¿qué fabricantes producen más CVSS 10.0?

CVE-2026-76460 forma parte de un patrón. Cisco publicó 77 CVE en el mismo ciclo de septiembre (41 de ISE y 28 de Secure Firewall) y varios otros tuvieron CVSS 10.0. Como artículo complementario, construimos una tabla de ranking de fabricantes por vulnerabilidades CVSS 10.0, según número y explotabilidad, de 12 grandes fabricantes de infraestructura, con un encuadre listo para el consejo para los CISO: Ranking de fabricantes por CVSS 10.0: ¿quién publica más vulnerabilidades críticas?

Preguntas frecuentes

¿Qué es CVE-2026-76460? CVE-2026-76460 es una vulnerabilidad crítica de omisión de autenticación en Cisco Identity Services Engine (ISE) e ISE Passive Identity Connector (ISE-PIC). Tiene una puntuación CVSS de 10.0, la máxima severidad posible. Un atacante remoto sin autenticar puede explotarla para omitir la autenticación en un endpoint de API y ejecutar comandos arbitrarios como root en el dispositivo afectado.

¿Qué versiones de Cisco ISE están afectadas? Todas las versiones de Cisco ISE anteriores a las versiones parcheadas: 3.0 y anteriores (fin de vida útil, hay que migrar), 3.1 (parchear a 3.1P12), 3.2 (parchear a 3.2P11), 3.3 (parchear a 3.3P12), 3.4 (parchear a 3.4P7) y 3.5 (parchear a 3.5P4).

¿Hay alguna solución alternativa? No. Cisco ha confirmado que no hay solución alternativa para esta vulnerabilidad. La única mitigación es aplicar la actualización de software a una versión corregida.

¿Cómo detecto la explotación? Ejecuta show logging application ise-kong/access.log | include dummyuser desde la CLI de administración de ISE. Cualquier entrada que contenga «dummyuser» indica intentos de explotación. Si las encuentras, considera el nodo comprometido y reinstálalo, no te limites a parchearlo.

¿Cuál es el plazo del KEV de CISA? CISA añadió CVE-2026-76460 a su catálogo Known Exploited Vulnerabilities el 16 de septiembre de 2026, con un plazo de remediación hasta el 19 de septiembre de 2026: tres días, reflejo de la explotación activa.