Cosa ha rivelato davvero Cisco
Cisco ha pubblicato un avviso di sicurezza il 16 settembre 2026 su CVE-2026-76460, una falla di autenticazione in Identity Services Engine e ISE Passive Identity Connector causata da un controllo insufficiente su un endpoint API.
Un attaccante remoto non autenticato può inviare una richiesta appositamente costruita a quell'endpoint e raggiungere l'interfaccia di gestione web del dispositivo senza mai presentare credenziali amministrative valide. Il team di risposta agli incidenti di Cisco, il PSIRT, dichiara apertamente di essere già a conoscenza di uno sfruttamento attivo. Il punteggio CVSS è 10.0, il massimo della scala, a riflettere un attacco che non richiede privilegi né interazione dell'utente e che può compromettere riservatezza, integrità e disponibilità tutte insieme.
Perché è proprio ISE la vera notizia
Identity Services Engine è il prodotto di controllo degli accessi di rete di Cisco, il sistema che autentica ogni dispositivo e utente che prova a entrare in una rete aziendale e decide cosa può toccare una volta dentro.
Una falla in un server applicativo qualsiasi è un problema di quel server. Una falla nel sistema che concede la fiducia di rete fin dall'inizio è un problema per tutto ciò che sta dietro, perché ISE è il varco che le altre difese danno per chiuso. Un attaccante che aggira l'autenticazione di ISE non si intrufola accanto a una guardia, attraversa una porta dove non c'è mai stata una guardia.
La tabella delle patch: cinque versioni, cinque correzioni
Le release ISE e ISE-PIC dalla 3.1 alla 3.5 sono tutte coinvolte, e ognuna richiede la propria patch specifica invece di un aggiornamento unico.
| Versione ISE / ISE-PIC | Release corretta |
|---|---|
| 3.1 | Patch 12 |
| 3.2 | Patch 11 |
| 3.3 | Patch 12 |
| 3.4 | Patch 7 |
| 3.5 | Patch 4 |
Un team IT dovrebbe confermare la versione esatta in esecuzione nel proprio ambiente prima di applicare la patch, perché il numero di patch sbagliato lascia il dispositivo esposto mentre sembra aggiornato.
L'assenza di soluzione temporanea è la vera notizia
Cisco dichiara direttamente che per CVE-2026-76460 non esiste soluzione temporanea. L'unica misura offerta è limitare il traffico di gestione e controllo a sistemi esplicitamente affidabili tramite liste di controllo degli accessi infrastrutturali, il che riduce l'esposizione ma non chiude la falla.
Questa distinzione conta per la pianificazione. Una soluzione temporanea compra tempo; una misura di riduzione dell'esposizione compra solo una finestra più piccola, mentre la vera correzione, la patch, resta comunque da applicare. Un team che si convince che il passo dell'iACL valga come rimedio sceglie soltanto di restare vulnerabile a un insieme più piccolo di fonti.
La scadenza che conta davvero nell'UE
La voce nel catalogo delle vulnerabilità sfruttate note di CISA fissa una scadenza al 19 settembre 2026, ma quella data vincola solo le agenzie civili federali statunitensi ai sensi della Binding Operational Directive 26-04. Non crea alcun obbligo legale per un'azienda in Italia, Germania o altrove nell'UE.
La scadenza che invece si applica è quella della NIS2, e scatta con un innesco del tutto diverso: non una data di catalogo, ma un incidente significativo reale. Un'entità essenziale o importante compromessa tramite questa falla prima della patch affronta l'obbligo di allarme preventivo verso il proprio CSIRT nazionale o l'autorità competente entro 24 ore dalla presa di conoscenza, seguito da una notifica completa entro 72 ore. La scadenza americana è un riferimento pratico di urgenza; quella dell'UE è quella con conseguenze vere, se questa falla viene usata contro di voi.
Cosa fare oggi prima di ogni altra cosa
Verificate se ISE o ISE-PIC gira da qualche parte nell'ambiente, comprese le istanze che un'unità di business o un team remoto ha attivato senza che l'IT centrale lo sapesse, perché è esattamente questo tipo di installazione nascosta a sfuggire a un ciclo di patch guidato dal catalogo.
Confrontate la versione in esecuzione con la tabella delle patch qui sopra e applicate subito la correzione giusta. Dove non è possibile applicare la patch oggi, limitate l'interfaccia di gestione con una iACL, ma solo come misura provvisoria, mai come piano. Poi controllate i log di accesso del dispositivo per eventuali segni che l'endpoint sia già stato raggiunto prima della patch, perché l'avviso stesso di Cisco conferma che gli attaccanti sono arrivati per primi.
Servola Journal
Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.
Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.
Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.
Da leggere ora: L'IA sta comprimendo i tempi con cui i gruppi di spionaggio condividono exploit | Google l'ha detto medio. La CISA ha dato 15 giorni.
