Zero-day desnuda Cisco ISE
¿Tu red decide quién entra y quién no según las reglas que tú marcas?
Cisco acaba de confirmar que esa llave tiene una grieta explotada activamente.
Identity Services Engine controla el acceso a tu red: quién entra, con qué permisos y desde qué dispositivo. No es un componente periférico.
Un fallo en ese punto puede abrir toda la infraestructura a cualquiera que sepa dónde empujar, sin necesidad de más.
El zero-day tiene la puntuación máxima posible: CVSS 10.0.
El problema está en un control de autenticación insuficiente en un endpoint del API. Un atacante remoto puede llegar sin credenciales, saltarse la autenticación en el API gateway y obtener acceso no autorizado al sistema, incluyendo la interfaz de administración web. No necesita una cuenta. No necesita una contraseña. Solo necesita saber que el fallo existe, y ya lo saben.
Y desde ahí escala hasta privilegios de root.
Con ese nivel de control, el atacante puede borrar huellas, ocultar indicadores de compromiso y manipular la plataforma a su antojo. Lo que hace especialmente incómodo este caso es que el fallo no depende de ninguna configuración concreta: Cisco confirma que ISE e ISE-PIC están afectados independientemente de cómo estén ajustados. No hay configuración segura que te salve si no parcheas.
No existen soluciones alternativas que eliminen el riesgo: solo el parche.
Cisco ha publicado correcciones para las ramas 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 y 3.5 Patch 4. Si sigues en la rama 3.0, ya no tiene mantenimiento activo y necesitas planificar una migración urgente a una versión soportada que incluya la corrección.
Este patrón no es exclusivo de este producto.
Las plataformas de control de acceso e identidad son objetivos prioritarios para atacantes que quieren moverse por una red sin levantar alarmas.
Comprometer el sistema de acceso elimina la necesidad de explotar cada recurso por separado.
Un solo punto con privilegios de administración puede dar acceso a decenas de sistemas internos sin disparar ninguna alerta perimetral.
La revisión de logs es urgente, no opcional.
Mientras completas la actualización, Cisco recomienda revisar el ise-kong access.log y los access.log de cada nodo buscando nombres de usuario sospechosos en peticiones al API gateway. Cruzar esos registros con los logs del firewall y del perímetro ayuda a detectar transferencias inesperadas hacia IPs externas.
Si encuentras indicios, el nivel de respuesta sube.
Cisco no se queda en el parche: si aparecen señales sólidas de explotación o compromiso, la recomendación es reinstalar los nodos afectados y restaurar la configuración desde copias de seguridad limpias. Además, plantea aplicar iACLs para limitar el tráfico de gestión y del plano de control, una medida que reduce la superficie de ataque en entornos donde detener servicios no siempre es inmediato.
Reducir la superficie de ataque mientras llegan los parches es clave.
Las iACLs permiten restringir qué tráfico llega a los puntos de gestión antes de que el parche esté instalado en todos los nodos. En entornos grandes, donde actualizar cada componente lleva tiempo, esa ventana de exposición puede ser el intervalo que un atacante necesita para entrar.
La explotación activa confirmada cambia por completo la prioridad de respuesta.
Cuando Cisco dice que hay explotación activa in the wild, el reloj ya está corriendo. No es una advertencia preventiva: es la confirmación de que alguien está usando este fallo ahora mismo contra infraestructuras reales. Cada hora sin parchear es una hora de exposición real.
La pregunta no es si parchear, sino cuándo.
Si tu organización usa Cisco ISE o ISE-PIC, el primer paso es identificar en qué versión estás y si el parche está disponible para esa rama. Si estás en una versión sin soporte activo, la urgencia es doble: no hay parche futuro que llegue solo y la exposición crece cada día.
Actualiza, revisa logs y no esperes más.
La combinación de CVSS 10.0 y explotación activa confirmada convierte este zero-day en una prioridad absoluta. ¿Tu equipo ya tiene el plan de actualización en marcha?
Qué hacer ahora
- ✓Identifica tu versión de ISE e instala el parche sin demora.
- ✓Revisa el ise-kong access.log buscando peticiones sospechosas al API gateway.
- ✓Aplica iACLs para limitar el tráfico de gestión mientras parcheas.
¿Tu equipo ya sabe en qué versión de ISE está corriendo ahora mismo?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
Passwork doma el caos NIS2
TP-Link Omada cae en cadena
Shodan escanea sin que lo notes
Zero-day encadenado en Siemens ROX II
El Pentágono sangró datos nueve meses
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
Riesgos y ataques que están ocurriendo justo ahora: vulnerabilidades siendo explotadas activamente, alertas oficiales de organismos de ciberseguridad, campañas de phishing o malware en marcha.
Información pensada para actuar y protegerte antes de que el problema te llegue a afectar.
RATING
8.8
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.