CISA porta Cisco ISE, Acronis e Pixel nel KEV, AWS corregge il bypass EKS

🛡️ Executive Summary

• CVE-2026-76460 su Cisco ISE entra nel KEV: bypass remoto senza autenticazione, CVSS 10.0 e possibilità di raggiungere privilegi root.
• CVE-2026-87886 colpisce Acronis Backup su cPanel/Plesk e CVE-2026-58704 il modem Pixel: entrambe risultano sfruttate.
• AWS corregge CVE-2026-86831 in EKS: collisioni negli identificatori dei pod possono aggirare le NetworkPolicy tra namespace.

CISA ha aggiunto il 16 settembre tre vulnerabilità già sfruttate al Known Exploited Vulnerabilities Catalog, ma il nuovo blocco non ha una criticità uniforme. CVE-2026-76460 su Cisco Identity Services Engine è la priorità più alta: permette a un attaccante remoto non autenticato di bypassare l’autenticazione e può terminare con esecuzione di comandi root. CVE-2026-87886 interessa invece i plugin Acronis Backup per infrastrutture hosting, mentre CVE-2026-58704 porta nel KEV la falla modem dei Pixel già indicata da Google come oggetto di exploitation mirata. In parallelo AWS corregge CVE-2026-86831 in Amazon EKS: non risulta inserita nel KEV, ma può rompere l’isolamento garantito dalle NetworkPolicy tra namespace.

Cisco ISE CVE-2026-76460 passa da advisory critico a vulnerabilità KEV

Il primo aggiornamento CISA del 16 settembre inserisce CVE-2026-76460 e CVE-2026-87886 nel catalogo delle vulnerabilità sfruttate. Sul piano operativo è Cisco ISE a richiedere la precedenza. Il bollettino ufficiale Cisco assegna a CVE-2026-76460 CVSS 10.0: una richiesta costruita verso un’API di Identity Services Engine o ISE-PIC può permettere a un attaccante remoto, senza credenziali e senza interazione della vittima, di superare i controlli di autenticazione. Cisco conferma inoltre che la vulnerabilità è stata sfruttata e mette a disposizione indicazioni specifiche per cercare attività sospette negli access.log dei nodi ISE. Il contesto rende la falla ancora più urgente: il patch day Cisco del 16 settembre ha concentrato su ISE authentication bypass, RCE, command injection e SQL injection, ma l’ingresso nel KEV distingue CVE-2026-76460 dalle numerose altre vulnerabilità pubblicate nello stesso ciclo. Non è più soltanto una falla teoricamente critica: esiste evidenza di utilizzo reale e una compromissione del sistema che governa identità e accesso alla rete può diventare compromissione del management plane.

Leggi anche: Cisco Secure Email Gateway sotto attacco: una SQL injection porta a root, AWS corregge TEAM

Acronis Backup espone la separazione dei privilegi negli hosting cPanel e Plesk

CVE-2026-87886 presenta una superficie completamente diversa. CISA la descrive come una vulnerabilità di incorrect default permissions in Acronis Backup plugin per cPanel & WHM e nell’estensione per Plesk, capace di consentire privilege escalation. L’advisory SEC-10986 di Acronis collega il problema a permessi dei file non sufficientemente restrittivi: il rischio diventa particolarmente importante negli ambienti hosting condivisi, dove un normale account locale può trovarsi sullo stesso server di processi di backup che necessitano di privilegi elevati per accedere ai dati di più tenant. CISA impone alle agenzie federali interessate una scadenza di remediation del 19 settembre 2026, appena tre giorni dopo l’ingresso nel KEV, e richiede anche di considerare il triage forense quando l’esposizione rientra nei criteri della BOD 26-04. Non esistono elementi pubblici sufficienti per descrivere la campagna o attribuirla a uno specifico attore, ma il segnale operativo è già sufficiente: l’exploitation è confermata. È una dinamica simile alle precedenti vulnerabilità che hanno trasformato normali account cPanel in possibili percorsi verso il root del server, dove il problema non rimane confinato al singolo utente compromesso ma può attraversare il confine tra tenant.

Pixel CVE-2026-58704 entra nel KEV dopo la conferma di Google

Il secondo avviso CISA pubblicato il 16 settembre aggiunge CVE-2026-58704, la vulnerabilità High nel modem dei Google Pixel. L’inserimento rafforza quanto Google aveva già comunicato nel Pixel Update Bulletin di settembre: esistono indicazioni di sfruttamento limitato e mirato e tutti i dispositivi Pixel supportati devono raggiungere il security patch level 2026-09-05. La falla è classificata come Elevation of Privilege e non deve essere confusa con le RCE Critical presenti nello stesso bollettino; ciò che la rende prioritaria non è quindi il punteggio più alto del mese, ma l’evidenza di exploitation. La sequenza è stata già ricostruita nell’analisi su CVE-2026-58704 e sugli attacchi WSO2: anche in questo caso l’ingresso nel KEV mostra perché la gestione delle vulnerabilità non possa essere ordinata esclusivamente per CVSS. Una falla High già utilizzata contro bersagli reali può richiedere una remediation più urgente di una Critical per la quale non esiste ancora evidenza di exploitation.

Continua con:

• N-central RCE sotto attacco, F5 BIG-IP riceve un rootkit e Cisco UCS perde Secure Boot
• Cisco FMC sotto attacco: Cyclops Blink e Qilin sfruttano falle, AWS corregge MCP

AWS EKS CVE-2026-86831 rompe l’assunzione di isolamento tra namespace

Fuori dal KEV, ma con un problema architetturale rilevante, AWS ha pubblicato il Security Bulletin 2026-113 per CVE-2026-86831, vulnerabilità con CVSS 8.7 nell’Amazon EKS Network Policy Agent. Il difetto nasce dal modo in cui aws-network-policy-agent costruisce gli identificatori dei pod concatenando nome del pod e namespace con un trattino. Poiché il trattino è un carattere valido in entrambi i nomi, combinazioni differenti possono produrre la stessa stringa identificativa. Un utente remoto già autenticato e con privilegi sufficienti per creare pod può costruire nomi capaci di generare una collisione e, in determinate condizioni, aggirare l’applicazione delle NetworkPolicy su pod co-locati appartenenti ad altri namespace. Sono interessati Network Policy Agent precedente alla 1.4.0 e Amazon VPC CNI Managed Add-on dalle versioni 1.14.0 precedenti alla 1.22.4; AWS indica come soluzione l’aggiornamento rispettivamente a 1.4.0 e 1.22.4 o successive, mentre l’assenza di trattini nei nomi dei namespace costituisce una mitigazione temporanea. Non risultano evidenze pubbliche di exploitation della falla: proprio questa differenza la separa dai tre ingressi CISA. Il punto comune resta però il cedimento di un confine di fiducia. Cisco ISE perde il controllo dell’autenticazione, Acronis quello dei privilegi locali, Pixel quello del modem e Amazon EKS quello dell’isolamento di rete tra workload. La priorità operativa va alle tre CVE già sfruttate, ma CVE-2026-86831 ricorda che in Kubernetes una NetworkPolicy è una barriera di sicurezza soltanto finché l’agente incaricato di applicarla identifica correttamente ogni workload.