Cisco, patch day critico: ISE arriva a CVSS 10 e FMC espone nuove RCE root

🛡️ Executive Summary

• Cisco ISE concentra il blocco più ampio del patch day, con authentication bypass, RCE, command injection, SQL injection e vulnerabilità fino a CVSS 10.
• Secure Firewall Management Center aggiunge CVE-2026-20324 e CVE-2026-20242, entrambe capaci di arrivare all’esecuzione di codice con privilegi root.
• Per le nuove CVE Cisco non segnala sfruttamento attivo, ma FMC è già sotto attacco attraverso vulnerabilità precedenti sfruttate da APT e ransomware.

La nuova tornata di sicurezza pubblicata da Cisco il 16 settembre 2026 contiene decine di vulnerabilità tra Identity Services Engine, Secure Firewall FMC, ASA, FTD, BroadWorks e ThousandEyes, ma non tutte hanno lo stesso peso operativo. La priorità emerge da una singola falla: CVE-2026-76460, vulnerabilità CVSS 10.0 di Cisco ISE che permette a un aggressore remoto non autenticato di superare l’autenticazione dell’interfaccia di gestione e che Cisco dichiara già sfruttata attivamente. Attorno a questa si aggiungono RCE fino a CVSS 9.9, deserializzazioni Java e bypass delle ACL. Il problema non è quindi il numero degli advisory, ma quali componenti possono trasformare una compromissione del management plane in accesso root all’infrastruttura.

CVE-2026-76460 trasforma Cisco ISE nel problema più urgente del bollettino

Il punto più grave dell’intera pubblicazione è l’advisory Cisco dedicato a CVE-2026-76460. La vulnerabilità interessa un endpoint API di Cisco Identity Services Engine e deriva dall’assenza di controlli di autenticazione sufficienti. Un aggressore remoto può inviare una richiesta appositamente costruita e ottenere accesso non autorizzato bypassando l’interfaccia web di gestione. Cisco assegna alla falla CVSS 10.0, conferma che riguarda sia ISE sia ISE-PIC indipendentemente dalla configurazione e, soprattutto, dichiara di essere a conoscenza di sfruttamento attivo. Il dettaglio più importante arriva dagli indicatori di compromissione: dopo uno sfruttamento riuscito, l’attore può arrivare all’esecuzione di comandi con privilegi root, condizione che permette anche di eliminare o nascondere le tracce dell’attacco. Cisco raccomanda quindi di controllare ise-kong/access.log, i log dei singoli nodi nelle installazioni distribuite e soprattutto i log di rete e firewall esterni al dispositivo. Se esistono indizi di compromissione, la raccomandazione arriva fino al re-image del nodo e al ripristino della configurazione da backup. Il precedente rende il quadro ancora più sensibile. Ad aprile, Cisco ISE aveva già ricevuto patch urgenti per RCE, path traversal e privilege escalation, mostrando come il piano di controllo dell’accesso alla rete sia diventato una superficie d’attacco ricorrente. La differenza, questa volta, è che il passaggio dall’advisory all’exploitation reale è già avvenuto.

Leggi anche: Cisco FMC è già finito sotto attacco con Cyclops Blink e attività pre-ransomware collegate a Qilin

ISE accumula altre RCE critiche tra deserializzazione Java e command injection

CVE-2026-76460 non arriva isolata. Un secondo advisory Cisco raccoglie tre vulnerabilità RCE, CVE-2026-20307, CVE-2026-20176 e CVE-2026-20211, con punteggi fino a CVSS 9.9. La prima è particolarmente rilevante perché richiede soltanto credenziali amministrative a basso privilegio e sfrutta la deserializzazione insicura di byte stream Java inviati all’interfaccia web. Un attaccante può ottenere esecuzione di codice sul dispositivo e scalare fino a root. Le altre due richiedono invece credenziali amministrative elevate ma mantengono lo stesso impatto finale. Nelle installazioni ISE a nodo singolo una compromissione può inoltre rendere indisponibile il nodo e impedire l’accesso alla rete agli endpoint non ancora autenticati. Cisco non indica workaround e porta le release supportate verso 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4, con differenze puntuali in base alla CVE. Il quadro si amplia con CVE-2026-20305 e CVE-2026-20306, due command injection CVSS 9.1 nei tool diagnostici e nelle REST API di ISE e ISE-PIC. Entrambe richiedono credenziali amministrative, ma consentono l’esecuzione arbitraria di comandi e l’elevazione a root. Un ulteriore gruppo comprende CVE-2026-20282, CVE-2026-20283 e CVE-2026-20284, tra SQL injection, modifica dei dati e command execution, con esposizione dipendente in alcuni casi dall’attivazione di SXP o da configurazioni IPsec specifiche. Il dato operativo è più importante del conteggio: un account amministrativo ISE compromesso non rappresenta soltanto accesso alla console, ma può diventare il punto di partenza per prendere il controllo del sistema operativo sottostante.

Cisco FMC espone due percorsi distinti verso root

Il secondo fronte critico riguarda Secure Firewall Management Center, già sotto osservazione dopo gli attacchi documentati nei giorni precedenti. CVE-2026-20242 raggiunge CVSS 9.8 e interessa la funzione External Database Access. Un host presente nella lista autorizzata può inviare a una specifica porta TCP uno stream Java serializzato costruito ad hoc e ottenere l’esecuzione di comandi con privilegi root. Il requisito riduce l’esposizione rispetto a una RCE aperta indiscriminatamente a Internet: l’attaccante deve controllare un host già autorizzato nella lista del database esterno. Ma proprio questo vincolo trasforma la vulnerabilità in un possibile vettore di lateral movement dopo una prima compromissione della rete. Cisco non fornisce un workaround definitivo, ma consente di ridurre il rischio disabilitando temporaneamente External Database Access. Ancora più interessante dal punto di vista architetturale è CVE-2026-20324 nel protocollo sftunnel, CVSS 9.9. Un peer sftunnel registrato dispone di permessi errati che possono consentire la scrittura di file arbitrari in qualsiasi posizione sul dispositivo. Un aggressore che controlli un peer valido o riesca a dirottare la comunicazione può quindi depositare un file destinato a essere eseguito con privilegi root. Il particolare rilevante è che sftunnel è abilitato per impostazione predefinita su FMC. Non risultano al momento sfruttamenti pubblici di questa CVE, ma la falla colpisce precisamente il protocollo utilizzato per la comunicazione tra componenti della piattaforma di sicurezza. È lo stesso piano di management che, pochi giorni fa, era già coinvolto nelle campagne che hanno portato Cisco FMC verso furto di credenziali, impianti persistenti e ransomware.

ASA e FTD rischiano di lasciar passare traffico che le ACL dovrebbero bloccare

Non tutte le vulnerabilità della pubblicazione portano direttamente a root. Alcune incidono invece sulla funzione primaria degli apparati. CVE-2026-20120 e CVE-2026-20121, descritte nell’advisory sulle Object Group Access Control List, riguardano Cisco ASA e Secure Firewall Threat Defense quando le ACL utilizzano Object Group Search. Un errore logico nella generazione delle policy può permettere a traffico che dovrebbe essere bloccato di attraversare il dispositivo e raggiungere sistemi nelle reti protette. Il punteggio CVSS 5.8 è molto inferiore rispetto alle RCE su ISE e FMC, ma descrive male il possibile impatto architetturale: un firewall che applica in modo errato una policy perde precisamente la garanzia sulla quale l’amministratore sta costruendo la segmentazione. Non esistono workaround e Cisco richiede l’aggiornamento delle release interessate. La criticità effettiva dipende dalla configurazione: gli apparati senza ACL che utilizzano OGS non risultano esposti a queste due CVE. La tornata comprende anche numerosi denial of service su ASA e FTD legati a IKEv2, EIGRP, logging, TCP DNS, TLS 1.3, DTLS e Snort 2. Questi problemi meritano patching, soprattutto sui firewall perimetrali, ma non vanno messi sullo stesso piano delle vulnerabilità che consentono bypass dell’autenticazione, root execution o attraversamento delle ACL. La stessa distinzione era emersa con la RCE critica sui Cisco Nexus 9000 con Silicon One: nel patch management enterprise il CVSS resta un indicatore, ma l’esposizione reale del servizio e il ruolo dell’apparato nella rete determinano la priorità effettiva.

Continua con:

• Cisco ha corretto falle CVSS 10 in Secure Workload, Crosswork e infrastrutture industriali
• Cisco ha aggiornato IOS XE, SD-WAN, CIMC e RoomOS contro nuove vulnerabilità critiche

La priorità è separare gli advisory dalla compromissione già in corso

Il pacchetto Cisco del 16 settembre mostra perché trattare trenta advisory come un unico elenco produce poco valore operativo. CVE-2026-76460 deve essere affrontata prima, perché combina assenza di autenticazione, CVSS 10.0, possibilità di arrivare a root e sfruttamento attivo già confermato. Subito dopo vengono le RCE ISE e FMC da 9.8 e 9.9, soprattutto nei sistemi nei quali management interface, peer sftunnel o host autorizzati possono essere raggiunti da segmenti non pienamente fidati. Solo successivamente entrano nella stessa coda i bypass ACL, le SQL injection, le vulnerabilità API e i numerosi DoS. La conseguenza più importante riguarda però la progettazione della rete. ISE e FMC non sono semplici applicazioni amministrative: decidono chi può accedere, come viene segmentato il traffico e come vengono gestiti gli apparati di sicurezza. La compromissione del loro piano di controllo può quindi avere conseguenze molto più ampie della singola appliance. Cisco consiglia patch immediate e, per CVE-2026-76460, iACL che limitino il traffico di management come mitigazione temporanea. Ma la presenza di exploitation reale rende insufficiente limitarsi all’upgrade: gli ambienti esposti devono anche cercare retroattivamente indicatori di compromissione, confrontare i log del dispositivo con quelli esterni e considerare il re-image dei nodi quando non è possibile escludere che un aggressore abbia già ottenuto root. La nuova tornata non è quindi soltanto un altro Patch Wednesday Cisco: su ISE il problema è già passato dalla vulnerabilità all’incidente.