A Cisco liberou atualizações de segurança para uma falha classificada com a nota máxima de gravidade no Identity Services Engine, o ISE. Não é um alerta preventivo: a própria equipe de resposta a incidentes da fabricante, a PSIRT, confirmou que a brecha já vem sendo usada em ataques reais. O problema recebeu o identificador CVE-2026-76460 e atinge tanto o ISE quanto o ISE-PIC, o conector de identidade passiva, sem que a configuração do equipamento faça diferença.
Se você é dono de clínica, de escritório, de indústria ou de comércio, a tradução é simples. O ISE é o produto que muita empresa usa para dizer quem entra na rede, com qual aparelho e até onde pode ir. Uma falha de controle de acesso nesse ponto significa que alguém de fora pode passar pela portaria sem apresentar credencial nenhuma. E a decisão do que fazer a respeito é sua, não do seu técnico.
O que exatamente foi corrigido
O problema está em um ponto de comunicação do sistema, uma interface de programação, que aceitava pedidos sem exigir a verificação de identidade que deveria exigir. Em outras palavras, existia uma porta de serviço que respondia a requisições feitas sob medida por um atacante remoto, e isso bastava para contornar a tela de login da administração pela web. Quem consegue isso não vira um usuário comum dentro da ferramenta; vira administrador do equipamento que governa o acesso de todos os outros.
Dois detalhes agravam o quadro. O primeiro é que não existe paliativo publicado: a Cisco afirma que o único caminho recomendado é subir para a versão corrigida. Não há uma regra de firewall mágica, um ajuste de configuração ou um contorno temporário que resolva. O segundo é que essa não foi a única correção. Um dia antes, a fabricante já havia fechado uma segunda falha de gravidade máxima de desvio de autenticação, a CVE-2026-76423, e mais cinco problemas críticos no mesmo par de produtos. Esses outros, até aquele momento, não apareciam sendo explorados.
Por que a palavra explorada muda a urgência
Há uma diferença grande entre uma falha descoberta por um pesquisador e uma falha que já está nas mãos de quem ataca. No primeiro caso, você tem tempo. No segundo, você está dividindo o calendário com o invasor.
Vale traduzir isso para a agenda da sua empresa. Enquanto a atualização não é aplicada, o equipamento que decide quem entra na rede continua aceitando um pedido que não deveria aceitar. Não importa se a sua operação é pequena, se o seu setor parece pouco atraente ou se nunca aconteceu nada por aqui. Varredura automatizada não escolhe alvo por porte; ela procura versão vulnerável exposta e segue em frente.
A gravidade do caso ficou registrada também fora da Cisco. A agência americana de cibersegurança, a CISA, incluiu a CVE-2026-76460 no catálogo de vulnerabilidades sabidamente exploradas e determinou que os órgãos federais do país corrigissem os sistemas em três dias. Prazo de três dias, em governo, não é exagero de burocrata; é a leitura de quem mede risco todos os dias.
Não é a primeira vez que esse produto aparece na lista. Em julho de 2025, criminosos aproveitaram outra falha de nota máxima do ISE, a CVE-2025-20337, para executar código remotamente e deixar instalado um web shell batizado com nome de componente legítimo da própria ferramenta, o que atrasa a percepção de que há algo estranho rodando ali. E, olhando o período de cinco anos, a CISA já marcou 99 falhas de produtos Cisco como exploradas em ataques, sete delas aproveitadas em campanhas de ransomware.
E se a sua empresa não usa Cisco?
A lição não é sobre marca. Todo equipamento que fica na borda da rede — firewall, controlador de Wi-Fi, servidor de acesso remoto, gravador de câmeras — é software rodando em cima de hardware, e software recebe correção. A pergunta que o dono precisa saber responder é quem acompanha os avisos do fabricante, quem aplica a atualização e em quanto tempo. Se não há nome e prazo para essas três respostas, o processo não existe.
Como descobrir se alguém já entrou
A Cisco divulgou indicadores de comprometimento e orientou as equipes a procurar nomes de usuário suspeitos nos arquivos access.log de cada nó da instalação. Havendo suspeita de atividade maliciosa, a recomendação da fabricante é dura e direta, reinstalar os nós do zero e restaurar a partir de backup.
Esse conselho carrega um recado que vale para qualquer empresa, use ela Cisco ou não. Um atacante que chega a executar comandos com privilégio de root consegue apagar o rastro que deixou. Daí a orientação de cruzar os registros do firewall e da rede atrás de movimentação estranha, incluindo envio e recebimento de dados com endereços externos ou já conhecidos como maliciosos. O registro guardado fora do equipamento comprometido é o que sobra quando o de dentro é limpo.
Três consequências práticas para quem decide.
- Backup só serve se for restaurável. A instrução da fabricante pressupõe que existe uma cópia íntegra e recente para onde voltar. Se a sua última restauração nunca foi testada, você não tem backup, tem esperança, e é por isso que só contamos como pronto o backup com restauração testada.
- Registro fora do equipamento vale mais que registro dentro dele. Coleta centralizada de logs e monitoramento 24 horas existem justamente para o dia em que o equipamento deixa de contar a verdade.
- Quem entra não deveria alcançar tudo. Segmentação e regras de firewall bem desenhadas não impedem a falha, mas encurtam o caminho de quem passou por ela.
O que fazer ainda esta semana
- Descubra o que você tem. Peça ao seu time ou ao seu fornecedor a lista dos equipamentos de rede e segurança em operação, com a versão de software de cada um. Empresa que não sabe o que tem não sabe o que precisa atualizar.
- Pergunte por esta falha pelo nome. A conversa é curta. Usamos Cisco ISE ou ISE-PIC? Em qual versão? Quando a correção entra?
- Marque a janela de manutenção. Atualizar equipamento de acesso costuma pedir parada programada, e alguém precisa autorizar essa parada. Esse alguém é você. Empurrar a decisão por duas semanas é, na prática, decidir não fazer.
- Mande revisar os registros. Nomes de usuário estranhos, acessos em horário improvável e tráfego para fora que ninguém sabe explicar são os sinais que a própria fabricante mandou procurar.
- Teste a volta. Escolha um sistema que a empresa não vive sem e peça uma restauração de verdade, cronometrada. O resultado desse teste é o seu plano B real.
Nenhuma empresa controla o calendário de quem descobre falhas em software. O que dá para controlar é o intervalo entre a correção existir e ela estar aplicada, e a capacidade de responder à pergunta alguém entrou aqui com registro na mão, em vez de achismo. Esse intervalo é decisão de gestão, não detalhe técnico.
Fonte: BleepingComputer — Cisco warns of max severity ISE zero-day exploited in attacks, setembro de 2026.
A Ragnatela cuida de rede, firewall, monitoramento 24 horas e backup para empresas que não têm equipe de TI própria ou que querem uma segunda leitura sobre o que está no ar. Se quiser saber em que pé está a sua infraestrutura hoje, fale com a nossa equipe.
Perguntas frequentes
Como eu sei se a minha empresa usa o Cisco ISE?
Pergunte ao responsável pela sua rede, seja time interno ou fornecedor, se existe Cisco ISE ou Cisco ISE-PIC em operação e em qual versão. Esse inventário deveria estar documentado. Se ninguém souber responder na hora, esse já é o primeiro problema a resolver.
Dá para esperar a próxima parada programada para aplicar a correção?
A Cisco informou que não existe contorno para esta falha, apenas a atualização para a versão corrigida. Como a exploração já foi confirmada pela equipe de resposta a incidentes da própria fabricante, cada dia de espera é um dia com a porta aberta. A CISA chegou a dar três dias de prazo aos órgãos federais americanos.
E se houver suspeita de que alguém já entrou?
A orientação divulgada é procurar nomes de usuário suspeitos nos arquivos access.log de cada nó e, havendo sinal de atividade maliciosa, reinstalar os nós e restaurar a partir de backup. Vale cruzar também os registros de firewall e de rede em busca de troca de dados com endereços externos, porque quem obtém privilégio de root pode apagar as evidências.
Minha empresa é pequena. Isso realmente me atinge?
Ataques que exploram falhas conhecidas costumam começar por varredura automática, que procura versão vulnerável exposta na internet e não o tamanho do faturamento. O que muda entre empresas não é a chance de ser encontrada, é a capacidade de perceber, conter e voltar ao ar depois.
