El controlador que decide quién entra a la red corporativa recibió la nota máxima de gravedad que la escala permite, con explotación ocurriendo mientras el parche se publicaba.
La CVE-2026-76460, en el Cisco Identity Services Engine (ISE) y en el ISE-PIC, es un bypass de autenticación remoto y sin credencial, explotable con una única llamada de API, con CVSS 10.0. El advisory oficial de Cisco salió el 16 de septiembre de 2026, confirmó explotación activa y afectaba todas las versiones soportadas.
El activo que se convierte en la red
El ISE es un NAC: decide quién y qué se conecta a la red corporativa, con políticas por usuario, dispositivo y postura. No corre aplicaciones, no guarda datos de clientes, no aparece en los reportes de tráfico. Y es exactamente por eso que suele quedar fuera del radar de parche y monitoreo.
El problema es la posición, no la función: el ISE está en el cuello de botella de entrada de la red. Quien controla el controlador no necesita invadir nada: se concede acceso a sí mismo. La falla divulgada otorgaba control administrativo total, incluyendo root en las personas de la plataforma, con una única llamada sin autenticación. El atacante no venció la puerta de entrada: se convirtió en el portero.
Es el mismo patrón del caso Jack Henry: el activo más crítico del ambiente es el que recibe menos mirada, porque nadie corre aplicaciones en él.
CVSS 10 con explotación activa: la regla de prioridad
Dos señales, por sí solas, ya suben el parche al tope del ciclo. Juntas, transforman el ciclo en emergencia:
- CVSS 10.0: impacto total y explotación trivial, sin interacción de usuario y sin credencial. No existe ventana de "evaluar impacto": el impacto es el peor descrito por la escala.
- Explotación activa confirmada: la CISA incluyó la CVE en el catálogo KEV, con plazo cortísimo para que las agencias federales apliquen el parche. Explotación activa significa que la carrera no es contra el investigador que divulgó, es contra quien ya está usando.
Y el diseño de la falla agrava: bypass vía API "independientemente de la configuración". La respuesta "mi ISE está configurado bien" no es defensa aquí.
Qué hacer ahora
Para quien opera ISE (o cualquier NAC), la secuencia es:
- Inventariar y exponer lo mínimo: management y APIs fuera de internet, acceso por segmento de administración.
- Aplicar el parche como emergencia de frontera, no como ítem del ciclo mensual.
- Asumir compromiso si estaba expuesto: re-imagen conforme la orientación, revocación de credenciales, revisión de cuentas admin y de accesos concedidos en el período.
- Tratar el controlador como producción crítica: telemetría, alerta de cambio de configuración, revisión periódica de quién tiene admin.
Y la lección estructural: la segmentación y el diseño zero trust limitan el daño de un controlador comprometido. El NAC comprometido todavía necesita alcanzar el resto de la red para que el daño sea total, y la red que lo impide es la que sobrevive al peor día.
Conclusión
Un zero-day CVSS 10 en el controlador de identidad es el recordatorio anual (este año, en septiembre) de que la seguridad de la red tiene un cuello de botella, y el cuello de botella tiene versión de software.
Parche de controlador de acceso es parche de frontera, y monitorear el NAC es monitorear quién entra. El inventario de la semana: dónde está su ISE, qué versión tiene, y quién más puede decidir quién entra a su red. Si la respuesta a la tercera pregunta es "no sé", la CVE de septiembre ya respondió por usted.