Il guardiano che si lascia aprire
E se la porta che controlla tutte le altre fosse aperta? È il caso di Cisco ISE, il sistema (Identity Services Engine) con cui molte aziende decidono quali utenti e dispositivi possono collegarsi alla rete. Cisco ha avvisato che la falla CVE-2026-76460 è già sfruttata in attacchi reali.
Cosa succede
Il problema sta in un endpoint API, cioè un punto di accesso pensato per l'automazione, che non controlla abbastanza chi lo chiama. Un attaccante può aggirare l'autenticazione dell'interfaccia di gestione senza conoscere alcuna password. Il punteggio di gravità è 10 su 10, il massimo della scala CVSS: non è un voto, è il livello di rischio più alto possibile. Secondo le analisi pubblicate, da lì si può arrivare ai privilegi di root sull'appliance.
Chi è coinvolto
Sono colpiti Cisco ISE e ISE-PIC, a prescindere da come sono configurati. Non esistono workaround: l'unica strada è aggiornare. Le versioni corrette sono 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4. La CISA americana l'ha già inserita nel catalogo delle vulnerabilità sfruttate.
Perché conta per una PMI
ISE decide chi è autorizzato a stare in rete. Se lo controlla un estraneo, può ammettere dispositivi propri o bloccare quelli legittimi. Ed è la seconda falla Cisco sfruttata in pochi giorni, quindi i tempi per reagire sono stretti.
💬 Il mio commento
Mi colpisce l'ironia di queste storie: il sistema che decide chi può entrare diventa lui la porta di servizio. Non è un giudizio su Cisco, che ha pubblicato le patch: succede a tutti i vendor, e più un componente è centrale, più il danno cresce. Il dubbio che mi resta è un altro, cioè quanto ci si può fidare di un guardiano raggiungibile da un'interfaccia di gestione che non dovrebbe vedere nessuno.
Secondo me il punto pratico è la velocità: senza workaround e con due falle Cisco sfruttate in pochi giorni, sapere subito quale versione gira e a che patch si è arrivati fa la differenza. Se vuoi che controlliamo insieme la tua versione di ISE e se l'interfaccia di gestione è raggiungibile dall'esterno, scrivimi e lo verifichiamo con calma.