Existe um equipamento na rede da sua empresa que funciona como a portaria do prédio. Ele não guarda planilha, não emite nota fiscal e não aparece em nenhuma reunião, mas é ele que decide quem entra, quem fica de fora e até onde cada pessoa pode andar depois de entrar. Quando esse porteiro falha, o problema não é um computador travado, é a lista de convidados inteira sendo reescrita por alguém que você não convidou.
Foi esse o tipo de alerta que a Cisco publicou em 16 de setembro sobre o Identity Services Engine, o ISE, produto que cumpre justamente essa função de controle de acesso em redes corporativas. A fabricante informou que já tem conhecimento de exploração ativa da brecha, ou seja, ela não é uma hipótese de laboratório: está sendo usada em ataques. Vale parar cinco minutos para entender o que isso significa para quem toca uma clínica, um escritório, uma indústria ou uma loja.
O que a Cisco encontrou, em português claro
O ISE é o sistema que autoriza aparelhos e pessoas a usar a rede: o notebook do contador, o tablet da recepção, o celular do visitante, a impressora do financeiro. A falha catalogada como CVE-2026-76460 mora em um endereço de programação do produto, um endpoint de API, e permite driblar a checagem de identidade. Na prática, quem souber montar a requisição certa entra sem apresentar credencial nenhuma e ainda contorna a tela de administração pela qual todo mundo precisa passar.
O aviso atribui à brecha a nota 10.0 na escala CVSS, o teto do indicador que o mercado usa para medir gravidade. Essa pontuação junta duas coisas ruins ao mesmo tempo: o estrago possível é enorme e a exploração é fácil. Pelo mesmo documento, o problema alcança o ISE e também o ISE Passive Identity Connector, sem depender de como o aparelho foi configurado. Não existe, portanto, ajuste esperto que tenha deixado alguém de fora.
A Cisco foi direta ao dizer que não há contorno capaz de resolver. Sobrou uma medida de redução de risco, apoiada em listas de controle de acesso na infraestrutura, que limitam o tráfego de gerenciamento e de controle endereçado ao aparelho afetado. A correção de verdade chegou em atualizações de software. E não é a estreia do ISE nessa lista: o próprio aviso lembra que CVE-2025-20337 e CVE-2025-20281 já serviram de porta em ataques anteriores.
Por que isso é assunto de dono, e não só de TI
Quando um invasor consegue rodar comandos com privilégio de root, como registra o aviso, ele deixa de ser visitante e vira o administrador da casa. A partir daí a conversa muda de assunto. Não se discute mais se alguém abriu um arquivo indevido, e sim quem manda na rede. Para a sua empresa, isso se traduz em prontuário de paciente, contrato de cliente, folha de pagamento, projeto de engenharia, tabela de preço. Coisas que não voltam para dentro depois de sair.
Há um detalhe do alerta que merece a atenção de quem aprova orçamento. A recomendação é conferir os registros de rede e de firewall fora do equipamento afetado, porque rastros podem ter sido apagados de dentro dele. Traduzindo para a linguagem do negócio: se o seu único histórico de acesso mora no mesmo aparelho que foi atacado, você talvez nunca descubra o que aconteceu. Guardar registro em local separado deixa de ser capricho técnico e passa a ser condição para investigar.
O roteiro de resposta que o fabricante desenhou
O aviso traz uma sequência de verificação que serve de modelo mesmo para quem não usa o produto. Vale conhecer o raciocínio, porque ele se aplica a qualquer sistema crítico da sua operação.
- Atualizar para as versões corrigidas indicadas pelo fabricante, sem esperar a próxima janela de manutenção confortável.
- Restringir o tráfego de gerenciamento com listas de controle na infraestrutura enquanto a atualização não chega a todos os nós.
- Examinar o arquivo access.log atrás de nomes de usuário estranhos, em todos os nós da instalação e não apenas no principal.
- Procurar evidência fora do aparelho, em registros de rede e de firewall que o invasor não teria como editar.
- Reinstalar os nós suspeitos e restaurar a configuração a partir de backup, caso apareça sinal de atividade maliciosa.
Repare no último item. A recomendação final do fabricante só funciona se existir uma cópia de configuração íntegra e recente. Sem ela, reinstalar e restaurar vira reconstruir do zero, no escuro, com a empresa parada. É por isso que insistimos tanto em backup com restauração testada: cópia que nunca foi restaurada é promessa, não é retorno comprovado.
O que a sua empresa faz a respeito nesta semana
Você não precisa virar especialista em vulnerabilidade para sair do lugar. Precisa de resposta para cinco perguntas simples, e elas valem para qualquer marca de equipamento:
- Quem é o responsável por cada equipamento de borda e de autenticação da rede, e com que frequência ele recebe atualização?
- A tela de administração desses equipamentos está exposta à internet ou só é alcançável de dentro, por gente identificada?
- Os registros de acesso ficam guardados em outro lugar, fora do próprio equipamento que eles deveriam vigiar?
- Alguém olha esses registros todo dia, ou eles só serão lidos depois que o estrago aparecer?
- A última restauração de backup foi testada quando, e quanto tempo o sistema levou para voltar?
Responder a essas perguntas costuma revelar o mesmo padrão. A rede cresceu por necessidade, equipamento por equipamento, sem um desenho que separe administração de uso comum. Um projeto de rede corporativa bem feito resolve boa parte disso, ao segmentar ambientes, isolar a gestão dos aparelhos e limitar quem conversa com quem. O firewall gerenciado coloca essa regra de pé no dia a dia, e o monitoramento 24 horas serve para que alguém esteja olhando o registro enquanto a sua equipe dorme.
Correr atrás de alerta não é estratégia
Avisos como esse vão continuar aparecendo, de todos os fabricantes, porque software escrito por gente tem defeito. A diferença entre a empresa que atravessa o susto e a que fica dias sem operar não está em adivinhar qual será a próxima brecha. Está em manter inventário do que existe na rede, rotina de atualização, registro guardado longe do alvo e backup que já provou que volta. É um conjunto pouco fotogênico, e é ele que sustenta a operação no dia ruim.
Vale ajustar também a expectativa interna. Segurança não é um produto que se compra uma vez e fica pronto na prateleira. É rotina, com gente responsável, prazo definido e registro do que foi feito. Quando essa rotina existe, um aviso de gravidade máxima vira uma tarefa de terça-feira. Quando não existe, vira crise de fim de semana, com telefone tocando e cliente esperando.
Fonte: CISO Advisor — Cisco: explorada falha crítica no Identity Services, 16 de setembro de 2026.
A Ragnatela cuida de rede, firewall, nuvem privada, backup e monitoramento para empresas que não têm equipe de TI própria, e também para as que têm e precisam de reforço. Se você quer saber como está o controle de acesso da sua rede hoje, é sobre isso que a gente conversa.
Perguntas frequentes
Minha empresa não usa Cisco ISE. Ainda assim isso me afeta?
O produto específico pode não estar na sua rede, mas a função existe em qualquer lugar: algum equipamento decide quem entra. A lição do aviso vale para roteador, firewall, controlador de Wi-Fi e servidor de autenticação de qualquer marca. Atualize, restrinja o acesso à administração e guarde registro fora do próprio aparelho.
O que quer dizer a nota 10.0 do CVSS?
CVSS é a escala que o mercado usa para medir a gravidade de uma falha, e 10.0 é o topo dela. Segundo o aviso da Cisco, essa pontuação reflete o impacto elevado e a facilidade de exploração da brecha no Identity Services Engine.
Por que guardar os registros de acesso fora do equipamento?
Porque quem invade com privilégio de root pode apagar o rastro de dentro. A própria Cisco orienta procurar evidência em registros de rede e de firewall que estejam fora do dispositivo afetado. Sem cópia externa, a investigação começa e termina no escuro.
Backup de configuração é a mesma coisa que backup de dados?
Não. O backup de dados devolve arquivos e bancos; o backup de configuração devolve o jeito como o equipamento estava programado. A recomendação de reinstalar o nó e restaurar a configuração só funciona se essa segunda cópia existir e tiver sido testada.
