El motor de identidad de Cisco tiene nueve fallos nuevos y uno se lleva un 10 perfecto

Cisco publicó el 16 de septiembre de 2026 un grupo de avisos de seguridad en los que describe nueve vulnerabilidades en Identity Services Engine (ISE), la plataforma que las empresas usan para decidir qué dispositivos y usuarios pueden unirse a sus redes. Un fallo destaca por encima del resto. Registrado como CVE-2026-76460, permite a un atacante no autenticado eludir por red la interfaz de gestión web de un equipo afectado, y el Product Security Incident Response Team de Cisco afirma que tiene constancia de explotación activa. La puntuación CVSS es 10.0, la máxima. CISA lo añadió a su catálogo de vulnerabilidades explotadas conocidas ese mismo día y dio a las agencias civiles federales hasta el 19 de septiembre para corregirlo.

Lectura relacionada: El zero-day del gateway de correo de Cisco entrega root a los atacantes con un solo mensaje · Un bypass de autenticación del Rejetto HFS hallado por IA atrae intentos de explotación.

El plazo tan corto es la señal. En virtud de la Directiva Operativa Vinculante 26-04, CISA suele fijar una fecha de remediación con semanas de margen, y una ventana de tres días indica que el riesgo es presente y que el parche está listo para desplegarse. Para cualquier organización que use ISE y lo exponga a internet, queda poco margen.

Qué hace Cisco ISE

ISE no es un producto de nicho. Es el motor de políticas que hay detrás de la autenticación 802.1X, la creación de perfiles de dispositivos y la evaluación de postura para el acceso por cable, inalámbrico y VPN. Cuando un portátil, un teléfono o un lector de tarjetas intenta llegar a la red corporativa, ISE suele ser el sistema que comprueba la credencial, evalúa el dispositivo y devuelve un sí o un no. Es la expresión técnica de la idea de confianza cero: no dar nada por fiable hasta que se hayan verificado la identidad y el estado del dispositivo.

Ese papel es la razón de que un fallo aquí importe más que un fallo en una herramienta periférica. Un atacante capaz de eludir la autenticación de ISE, o de ejecutar comandos en el equipo, no se limita a comprometer un servidor. Alcanza el plano de control que decide quién entra en la red. Cuando el propio sistema que comprueba la identidad es eludible, el modelo de seguridad construido sobre él pierde su base.

Los nueve fallos

Las divulgaciones del 16 de septiembre abarcan más de un aviso y van desde un bypass de autenticación casi perfecto hasta fallos de inyección de comandos que requieren credenciales primero.

• CVE-2026-76460 (CVSS 10.0): un bypass de autenticación de la API REST sin autenticación. Cisco lo atribuye a un control de autenticación insuficiente en un endpoint de la API, y basta una petición manipulada para alcanzar la interfaz de gestión. Es el fallo bajo explotación activa.
• CVE-2026-76423 (CVSS 10.0): un segundo bypass de autenticación de la API REST sin autenticación, divulgado en un aviso separado que cubre seis problemas adicionales.
• CVE-2026-76424: un fallo de acceso arbitrario a archivos que puede derivar en ejecución remota de código.
• CVE-2026-76446: un fallo de entidades externas XML que permite a un atacante autenticado leer archivos concretos del sistema operativo subyacente.
• CVE-2026-20305 y CVE-2026-20306 (CVSS 9.1): inyección de comandos en herramientas de diagnóstico y en la API REST. Ambos requieren autenticación, pero ambos permiten escalar a root.
• CVE-2026-20307 (CVSS 9.9): un fallo de ejecución remota de código que requiere credenciales privilegiadas válidas.
• CVE-2026-20176: un fallo de ejecución de comandos autenticado que escala a root. En un despliegue de un solo nodo, su explotación puede dejar el nodo fuera de servicio, lo que bloquearía el acceso a la red de los endpoints que aún no se hayan autenticado.
• CVE-2026-20211: un problema de ejecución remota de código abordado junto con los demás.

Los fallos de inyección de comandos fueron reportados por investigadores de STAR Labs SG, según Forkast. Es la segunda vez este año que el grupo encuentra un fallo de inyección de comandos con nivel de root en la misma plataforma. Los avisos de Cisco señalan que no hay soluciones alternativas que aborden los fallos de ejecución remota de código del grupo, y que los clientes deben actualizar en su lugar.

Explotado antes de ser corregido

CVE-2026-76460 salió a la luz a través de un caso de soporte del Centro de Asistencia Técnica de Cisco, lo que significa que al menos un entorno de cliente ya estaba comprometido antes de que el fallo se entendiera y parcheara por completo. Esa historia de origen resulta familiar. Los equipos de borde e infraestructura generan poca de la telemetría de endpoint que los centros de operaciones de seguridad están diseñados para vigilar, así que su compromiso tiende a aflorar cuando algo posterior falla o cuando un cliente llama al proveedor por un comportamiento extraño. Para entonces, un intruso que buscara persistencia suele haber tenido tiempo de prepararla.

El aviso de Cisco confirma la explotación en la naturaleza, pero no nombra a ningún actor de amenazas, no atribuye la actividad ni describe su alcance. La puntuación de cambio de alcance del vector CVSS significa que una explotación con éxito puede afectar a recursos más allá del componente vulnerable, así que un nodo ISE comprometido debe tratarse como un posible trampolín y no como un incidente aislado.

Por qué la infraestructura de identidad no deja de recibir golpes

La divulgación de ISE encaja en un patrón que ha recorrido 2026. Secret Server, de Delinea, la propia pasarela de correo de Cisco, Check Point, MikroTik y ConnectWise se han enfrentado a fallos de borde o infraestructura explotados en la naturaleza, y varios de ellos acabaron en el catálogo de CISA. El hilo común es la posición. Estos sistemas se sitúan fuera del perímetro de identidad que ayudan a aplicar, así que la autenticación multifactor y los controles de endpoint no detienen la explotación inicial. Funcionan de forma continua, hablan con internet cuando no deberían y rara vez se reconstruyen.

Las plataformas de identidad y acceso son una versión especialmente atractiva de ese objetivo, porque comprometerlas no exige derrotar la autenticación. Exige reescribir la respuesta. Un sistema de control de acceso a la red que ha sido subvertido puede admitir el dispositivo de un atacante como si estuviera gestionado y cumpliera las normas. En ese escenario, la monitorización convencional puede ver tráfico normal en un segmento de confianza, porque desde el punto de vista de la red todo cuadra.

Hay además una dimensión de cadena de suministro. Estas plataformas son de confianza por diseño, lo que significa que sus API, su tratamiento de entidades externas y sus herramientas de diagnóstico quedan dentro del radio de impacto de las organizaciones que las despliegan. Cada función de comodidad, desde una interfaz REST contra la que los administradores automatizan hasta una página de diagnóstico que ejecuta comandos, es una pequeña ampliación de la superficie de ataque que heredan los defensores.

Parchear y el matiz de ISE-PIC

Cisco ha publicado versiones corregidas en todas las ramas compatibles: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4, con algunas correcciones llegando en 3.5 Patch 3. Su recomendación permanente para el aviso de ejecución remota de código es actualizar en lugar de mitigar, porque no existe solución alternativa.

Los despliegues heredados necesitan otro tipo de atención. ISE-PIC, la línea Passive Identity Connector, se detiene en la versión 3.4, que Cisco ha marcado como fin de venta. Las organizaciones que aún la usan se enfrentan a estos fallos sin la opción de una actualización in situ y tendrán que planificar una migración. Los huecos como ese son donde suele residir la exposición más longeva, porque los sistemas son lo bastante antiguos como para que nadie los reclame y lo bastante importantes como para que nadie quiera apagarlos.

Qué deberían hacer los defensores

1. Inventariar cada instancia de ISE, incluidas las de laboratorio, las de pruebas y los clústeres olvidados, y determinar cuáles son accesibles desde internet.
2. Parchear a una versión corregida de tu rama. Cuando eso sea imposible con un plazo tan corto, restringe el acceso con reglas de cortafuegos o una ACL y trata el equipo como un activo monitorizado.
3. Buscar pruebas de explotación, no solo de exposición. Revisa los registros de la API y de la web en busca de peticiones inusuales anteriores al parche, busca cuentas locales nuevas o tareas programadas, y revisa las conexiones salientes.
4. Rota todo aquello a lo que el equipo pueda llegar. Si ISE guarda credenciales o relaciones de confianza que consumen otros sistemas, da por hecho que esas relaciones estaban dentro del radio de impacto.
5. Trata un hallazgo positivo como una brecha. El acceso root o administrativo a la plataforma de identidad puede sobrevivir al equipo en el que se obtuvo.

Salvedades y qué observar

• La atribución sigue abierta. Los avisos no nombran a ningún actor de amenazas ni describen con qué amplitud se ha usado CVE-2026-76460.
• La fecha de KEV es un suelo, no un techo. El 19 de septiembre se aplica a las agencias civiles federales. Las organizaciones privadas se enfrentan a la misma exposición sin obligación de informar.
• El escaneo suele seguir al catálogo. Una vez que un fallo entra en la lista KEV, el sondeo masivo en busca de instancias expuestas tiende a llegar en cuestión de días. Reducir la accesibilidad pública merece la pena independientemente del calendario de parches.
• Los fallos de inyección de comandos no son el titular, pero importan. Necesitan credenciales, pero terminan en root, que es un camino corto del acceso administrativo al control total.

La lección útil no es que Cisco haya tenido una mala semana. Es que los sistemas en los que se confía para decidir quién pertenece a una red están entre los activos de mayor valor que posee una organización, y con frecuencia son los menos observados. Los equipos que salen intactos de incidentes como este suelen ser los que ya sabían lo que tenían y pudieron parchearlo antes de que apareciera un escáner.

Portada: Cisco Systems Headquarters (Building 10), San José, por Travis Wise (CC BY 2.0) vía Wikimedia Commons.