Cisco ISE con CVSS 10.0 explotado y Check Point con RCE preauth: la semana en que el control de acceso fue el blanco

Cisco publicó 77 CVE nuevos en un solo miércoles. Cuarenta y uno de ellos afectan a Identity Services Engine, el servidor que decide quién entra a tu red corporativa. Uno tiene CVSS 10.0, no requiere autenticación, no tiene workaround y ya se está explotando en el mundo real. CISA lo metió al catálogo KEV el 16 de septiembre con fecha límite de parcheo a tres días. Cuarenta y ocho horas después, Check Point confirmó un stack overflow preautenticación en su Security Management Server que también entrega root.

No es coincidencia de calendario. Es la confirmación de que el appliance de seguridad dejó de ser la defensa y se convirtió en el objetivo prioritario.

Qué pasó

El 16 de septiembre Cisco publicó el advisory de CVE-2026-76460, un bypass de autenticación en Cisco Identity Services Engine (ISE) y en ISE Passive Identity Connector (ISE-PIC). Puntuación CVSS: 10.0, el máximo de la escala. El vector es tan simple como suena: un endpoint de la API con control de autenticación insuficiente. Un atacante remoto, sin credenciales, manda una petición manipulada y queda dentro de la interfaz de administración web.

Cisco reconoció explotación activa en el mismo documento. CISA añadió el CVE al catálogo Known Exploited Vulnerabilities ese mismo día, con fecha de cumplimiento obligatorio para agencias federales el 19 de septiembre: tres días de margen, uno de los plazos más agresivos que la agencia ha puesto este año.

El detalle que convierte esto de urgente a grave: la vulnerabilidad afecta a ISE independientemente de la configuración del equipo. No hay una feature que puedas desactivar. No hay un módulo opcional que la habilite. Si tienes ISE en una versión afectada, eres vulnerable.

Por qué importa: qué es realmente ISE

Aquí es donde mucha cobertura se queda corta. ISE no es un servidor más del datacenter: es el policy decision point de la red. Es la caja que responde las peticiones RADIUS y TACACS+ de switches, WLC y firewalls; la que decide si una laptop entra a la VLAN corporativa o a la de cuarentena; la que sostiene el 802.1X, el perfilado de dispositivos, el guest access y —en despliegues maduros— la segmentación con TrustSec. Muchas organizaciones la usan además como fuente de identidad para el NGFW.

Comprometer ISE con root no es "un equipo caído". Es poder:

• Emitir políticas de autorización arbitrarias y meter cualquier dispositivo a cualquier segmento.
• Leer o alterar la base de identidades y los secretos compartidos de cada dispositivo de red que habla RADIUS con él.
• Desactivar el propio control de acceso y hacerlo pasar por operación normal.

Es, en el sentido más literal, obtener la llave maestra de la red desde internet y sin credenciales. Y el propio Cisco lo dice sin adornos:

Tras la explotación exitosa de esta vulnerabilidad, los actores de amenaza pueden obtener ejecución de comandos con privilegios de root. Debido a este nivel de acceso, la evidencia de explotación y los indicadores de compromiso pueden ser eliminados u ocultados por los atacantes. — Cisco, advisory de CVE-2026-76460

Esa segunda frase es la que debería quitarte el sueño: el vendor está admitiendo que la ausencia de IOCs no es evidencia de que no te comprometieron.

Línea de tiempo

• 14 de septiembre — CISA añade al KEV CVE-2026-76461 (CVSS 9.8), ejecución de comandos como root en AsyncOS para Cisco Secure Email Gateway, también explotado en la práctica. Due date: 17 de septiembre.
• 16 de septiembre — Cisco publica 77 CVE nuevos: 41 en ISE, 28 en el portafolio de Secure Firewall. Entre ellos CVE-2026-76460 (CVSS 10.0) con explotación activa, que CISA sube al KEV el mismo día.
• 16 de septiembre — Check Point publica en su comunidad CheckMates el aviso de CVE-2026-91843 en Security Management y Log Servers.
• 17 de septiembre — CISA registra la explotación de la falla de Check Point como "none" en su evaluación del CVE. Censys confirma que no hay PoC público.
• 19 de septiembre — Vence el plazo del KEV para CVE-2026-76460 en agencias federales de EE. UU.

Dos zero-days explotados en producto Cisco en menos de una semana, más un crítico preautenticación en el plano de gestión de Check Point. Todo en el mismo tramo de siete días, y todo en el mismo tipo de activo.

El detalle técnico

Cisco ISE (CVE-2026-76460). La causa raíz es control de autenticación insuficiente en un endpoint de API. Cisco no publicó el endpoint ni detalles de las campañas —ni quién está detrás—, pero sí entregó algo más útil para un SOC: un método de detección concreto. Los atacantes dejan usuarios inesperados en el log de acceso del componente Kong, y el comando para cazarlos es:

admin# show logging application ise-kong/access.log | include dummyuser

Cualquier entrada en la salida de ese comando apunta a actividad maliciosa. Y si el despliegue es distribuido, hay que revisar los logs de cada nodo, no solo del primario. La recomendación de Cisco en caso de hallazgo no es limpiar: es reimagen del nodo afectado y restauración desde backup de configuración. Coherente con su propia advertencia sobre borrado de evidencia.

Como mitigación —no como parche— Cisco recomienda iACLs de infraestructura que permitan únicamente el tráfico necesario de gestión y control plane hacia el equipo. Es lo que debería existir desde el día uno en cualquier despliegue serio: el plano de administración de tu NAC no tiene por qué ser alcanzable desde donde sea.

El resto del lote tampoco es menor. Entre los 41 CVE de ISE aparecen CVE-2026-76423 (CVSS 10.0) y toda la familia 76424–76428: bypass de autenticación en la REST API, RCE, inyección SQL y XXE. Y tres más (CVE-2026-20176 con 9.9, CVE-2026-20211 y CVE-2026-20307 con 9.1) que permiten ejecutar comandos en el sistema operativo subyacente, aunque estos sí requieren credenciales administrativas válidas.

Check Point (CVE-2026-91843). Puntuada 9.8 por el propio vendor. Es un stack overflow en el proceso de login —es decir, en código que corre antes de autenticar al usuario— en Security Management y Log Servers. Censys detalló el disparador: una petición de login con un username muy largo. Un desbordamiento de pila clásico, en 2026, en el servidor que controla la política de firewall y el acceso de administradores.

Hay matices que bajan el riesgo real, y hay que decirlos: Check Point confirmó a The Hacker News que la ruta vulnerable pasa únicamente por la configuración Trusted Clients, que restringe qué hosts pueden conectarse al management server vía SmartConsole. Eso limita el universo de atacantes a quienes ya están en una red autorizada. El fix se distribuye por LivePatch (advisory sk1000155) y quien tenga actualizaciones automáticas activadas ya está protegido. Sin explotación conocida y sin PoC público al 16 de septiembre.

Las ramas afectadas van por Jumbo Hotfix Take: R82.10 hasta Take 44, R82 hasta Take 126, R81.20 hasta Take 166, R81.10 hasta Take 190, más R81, R80.40, R80.30, R80.20, R80.10 y R80 —todas ya fuera de soporte—. Un detalle para no confiarse: el registro del CVE no lista R82.20, pero Aviv Abramovich, VP de product management de network security en Check Point, confirmó a THN que R82.20 también es vulnerable. Si tu inventario se basa solo en leer el CVE, te falta una rama.

La lectura: el perímetro de gestión es el nuevo perímetro

El patrón de los últimos dos años ya no admite duda. Los atacantes dejaron de pelear contra el endpoint bien defendido —con EDR, con telemetría, con parcheo automático— y se movieron a los dispositivos que nadie mira: appliances de seguridad, gateways, servidores de gestión. Tienen tres propiedades irresistibles: están expuestos por diseño, corren software propietario que el defensor no puede auditar, y casi nunca tienen EDR encima. El último punto es el que convierte una intrusión en persistencia silenciosa.

Y hay una ironía estructural en todo esto: los productos que compramos para controlar el acceso son, a la vez, los objetivos con mayor privilegio de la infraestructura. Comprometer ISE da más poder que comprometer un domain controller en muchos entornos, porque desde ahí se manipula la capa que decide qué se conecta a qué. La cadena de confianza tiene un solo eslabón, y ese eslabón acepta peticiones desde la red.

Para LATAM hay un agravante concreto. El plazo de tres días del KEV aplica a agencias federales de EE. UU., pero el atacante no distingue jurisdicciones: el mismo exploit funciona en Monterrey y en Virginia. La diferencia está en que muchas organizaciones de la región operan ISE, firewalls y management servers en ventanas de mantenimiento mensuales o trimestrales, negociadas con el negocio. Un parche crítico de un componente que puede tirar toda la autenticación de la red no se aplica un martes a las 3 de la tarde. Ese gap entre "tengo que parchear en 72 horas" y "mi ventana es en tres semanas" es exactamente el espacio donde vive la explotación activa.

Qué hacer

Si operas Cisco ISE (prioridad inmediata):

1. Parchea ya a 3.1 P12, 3.2 P11, 3.3 P12, 3.4 P7 o 3.5 P4 según tu rama. No hay workaround.
2. Antes de parchear, caza: corre show logging application ise-kong/access.log | include dummyuser en todos los nodos del despliegue. Cualquier resultado = incidente.
3. Si hay indicios, no limpies: reimagen del nodo y restauración desde backup de configuración, según la guía de Cisco.
4. Rota los secretos compartidos de RADIUS/TACACS+ y las credenciales administrativas si sospechas compromiso. Un root en ISE los tuvo todos.
5. Cierra el plano de gestión con iACLs. Que el admin de ISE solo sea alcanzable desde tu red de administración, hoy y siempre.

Si operas Check Point Security Management:

1. Verifica tu Jumbo Hotfix Take contra la lista de ramas afectadas y aplica el LivePatch de sk1000155. Asume R82.20 como vulnerable aunque el CVE no la liste.
2. Revisa que Trusted Clients esté realmente restringido y no en un rango amplio heredado de una migración.
3. Migra lo que siga en R80.x: está fuera de soporte y no va a recibir el siguiente parche.

Para todos, más allá de estos dos CVE:

1. Trata tus appliances de seguridad como tier 0, al nivel de tus domain controllers: inventario exacto de versiones, red de gestión separada, MFA para administradores, logs exportados fuera del equipo —porque un root local puede borrar los locales—.
2. Suscríbete al feed del KEV de CISA y úsalo como reloj de parcheo, no como reporte trimestral. El due date de tres días no es una recomendación burocrática: es el tiempo que la agencia estima que tienes.

Si tuvieras que quedarte con una sola frase de esta semana, que sea la de Cisco: los IOCs pueden haber sido borrados. En un compromiso del plano de gestión, la ausencia de evidencia no es evidencia de ausencia.

Fuentes

• Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks — The Hacker News
• Critical Check Point Management Flaw Lets Unauthenticated Attackers Run Code as Root — The Hacker News
• Known Exploited Vulnerabilities Catalog — CISA
• Cisco Security Advisory: ISE authentication bypass
• Cisco Secure Email Gateway Flaw Exploited in the Wild — The Hacker News