O controlador que decide quem entra na rede corporativa recebeu a nota máxima de gravidade que a escala permite, com exploração acontecendo enquanto o patch era publicado.
A CVE-2026-76460, no Cisco Identity Services Engine (ISE) e no ISE-PIC, é um bypass de autenticação remota e sem credencial, explorável por uma única chamada de API, com CVSS 10.0. O advisory oficial da Cisco saiu em 16 de setembro de 2026, confirmou exploração ativa e afetava todas as versões suportadas.
O ativo que vira a rede
O ISE é um NAC: decide quem e o que se conecta à rede corporativa, com políticas por usuário, dispositivo e postura. Ele não roda aplicação, não guarda dado de cliente, não aparece nos relatórios de tráfego. E é exatamente por isso que costuma ficar fora do radar de patch e monitoramento.
O problema é a posição, não a função: o ISE está no gargalo de entrada da rede. Quem controla o controlador não precisa invadir nada: concede acesso a si mesmo. A falha divulgada concedia controle administrativo total, inclusive root nas personas da plataforma, com uma única chamada sem autenticação. O atacante não venceu a porta da frente: virou o porteiro.
É o mesmo padrão do caso Jack Henry: o ativo mais crítico do ambiente é o que recebe menos olhar, porque ninguém roda aplicação nele.
CVSS 10 com exploração ativa: a régua de prioridade
Dois sinais, sozinhos, já puxam patch para o topo do ciclo. Juntos, transformam o ciclo em emergência:
- CVSS 10.0: impacto total e exploração trivial, sem interação de usuário e sem credencial. Não existe janela de "avaliar impacto": o impacto é o pior descrito pela escala.
- Exploração ativa confirmada: a CISA incluiu a CVE no catálogo KEV, com prazo curtíssimo para agências federais aplicar o patch. Exploração ativa significa que a corrida não é contra o pesquisador que divulgou, é contra quem já está usando.
E o desenho da falha agrava: bypass via API "independentemente da configuração". A resposta "meu ISE está configurado certo" não é defesa aqui.
O que fazer agora
Para quem opera ISE (ou qualquer NAC), a sequência é:
- Inventariar e expor o mínimo: management e APIs fora da internet, acesso por segmento de administração.
- Aplicar o patch como emergência de fronteira, não como item do ciclo mensal.
- Assumir comprometimento se estava exposto: re-imagem conforme orientação, revogação de credenciais, revisão de contas admin e de acessos concedidos no período.
- Tratar o controlador como produção crítica: telemetria, alerta de mudança de configuração, revisão periódica de quem tem admin.
E a lição estrutural: segmentação e desenho zero trust limitam o dano de um controlador comprometido. O NAC comprometido ainda precisa alcançar o resto da rede para o dano ser total, e a rede que o impede é a que sobrevive ao pior dia.
Conclusão
Zero-day CVSS 10 no controlador de identidade é o lembrete anual (deste ano, em setembro) de que a segurança da rede tem um gargalo, e o gargalo tem versão de software.
Patch de controlador de acesso é patch de fronteira, e monitorar o NAC é monitorar quem entra. O inventário da semana: onde está o seu ISE, qual a versão, e quem mais pode decidir quem entra na sua rede. Se a resposta para a terceira pergunta for "não sei", a CVE de setembro já respondeu por você.