O que a Cisco revelou de facto
A Cisco publicou um aviso de segurança a 16 de setembro de 2026 sobre a CVE-2026-76460, uma falha de autenticação no Identity Services Engine e no ISE Passive Identity Connector, causada por um controlo de autenticação insuficiente num endpoint de API.
Um atacante remoto não autenticado pode enviar um pedido especialmente construído para esse endpoint e alcançar a interface de gestão web do equipamento sem nunca apresentar credenciais de administrador válidas. A equipa de resposta a incidentes de segurança da Cisco, o PSIRT, afirma sem rodeios que já tem conhecimento de exploração ativa. A pontuação CVSS é 10.0, o máximo da escala, refletindo um ataque que não exige privilégios nem interação do utilizador e que pode comprometer confidencialidade, integridade e disponibilidade em simultâneo.
Porque é que o ISE, em particular, é a verdadeira notícia
O Identity Services Engine é o produto de controlo de acesso à rede da Cisco, o sistema que autentica cada dispositivo e utilizador que tenta juntar-se a uma rede empresarial e decide o que pode tocar depois de entrar.
Uma falha num servidor de aplicações qualquer é um problema desse servidor. Uma falha no sistema que concede confiança de rede desde o início é um problema para tudo o que está por trás, porque o ISE é o portão que as outras defesas dão como fechado. Um atacante que contorna a própria autenticação do ISE não se esgueira junto de um guarda, atravessa uma porta onde nunca esteve guarda nenhum.
A tabela de patches: cinco versões, cinco correções
As versões 3.1 a 3.5 do ISE e do ISE-PIC estão todas afetadas, e cada uma precisa do seu próprio patch específico em vez de uma atualização única.
| Versão ISE / ISE-PIC | Versão corrigida |
|---|---|
| 3.1 | Patch 12 |
| 3.2 | Patch 11 |
| 3.3 | Patch 12 |
| 3.4 | Patch 7 |
| 3.5 | Patch 4 |
Uma equipa de TI deve confirmar a versão exata em execução no seu ambiente antes de aplicar o patch, porque o número de patch errado deixa o equipamento exposto enquanto parece atualizado.
A ausência de solução de contorno é a verdadeira manchete
A Cisco declara diretamente que não existe solução de contorno para a CVE-2026-76460. A única medida proposta é restringir o tráfego de gestão e controlo a sistemas explicitamente confiáveis através de listas de controlo de acesso de infraestrutura, o que reduz a exposição mas não fecha a falha em si.
Essa distinção importa para o planeamento. Uma solução de contorno compra tempo; uma medida de redução de exposição compra apenas uma janela mais pequena, enquanto a correção real, o patch, continua por fazer. Uma equipa que se convence de que o passo da iACL conta como remediação está apenas a escolher permanecer vulnerável perante um conjunto mais pequeno de fontes.
O prazo que conta mesmo na UE
A entrada no catálogo de vulnerabilidades ativamente exploradas da CISA fixa um prazo até 19 de setembro de 2026, mas essa data vincula apenas as agências civis federais dos Estados Unidos ao abrigo da Binding Operational Directive 26-04. Não cria nenhuma obrigação legal para uma empresa em Portugal, na Alemanha ou noutro ponto da UE.
O prazo que de facto se aplica é o do NIS2, e este começa por um gatilho completamente diferente: não uma data de catálogo, mas um incidente significativo real. Uma entidade essencial ou importante comprometida através desta falha antes de aplicar o patch enfrenta o dever de notificação prévia ao seu CSIRT nacional ou autoridade competente no prazo de 24 horas após tomar conhecimento, seguida de uma notificação completa no prazo de 72 horas. O prazo norte-americano é uma referência prática de urgência; o prazo da UE é o que traz consequências reais, se esta falha for usada contra si.
O que fazer hoje antes de tudo o resto
Confirme se o ISE ou o ISE-PIC estão em execução em qualquer ponto do ambiente, incluindo instâncias que uma unidade de negócio ou uma equipa remota tenha montado sem conhecimento da TI central, porque é exatamente esse tipo de implementação à revelia que um ciclo de patches guiado por catálogo não apanha.
Compare a versão em execução com a tabela de patches acima e aplique de imediato a correção certa. Onde não for possível aplicar o patch hoje, restrinja a interface de gestão com uma iACL, mas apenas como medida provisória, nunca como plano. Depois, reveja os registos de acesso do equipamento em busca de sinais de que o endpoint já tinha sido alcançado antes do patch, porque o próprio aviso da Cisco confirma que os atacantes chegaram primeiro.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.
Leia a seguir: A IA está a comprimir a velocidade a que os grupos de espionagem partilham exploits | A Google chamou-lhe médio. A CISA deu 15 dias.
