Cisco corrige RCEs no ISE e falha de validação de certificado no Webex SSO

A Cisco anunciou a correção de quatro vulnerabilidades críticas que afetam o Identity Services Engine (ISE), o ISE Passive Identity Connector (ISE-PIC) e os serviços Webex, em um pacote de falhas que chama a atenção pelo potencial de impacto sobre autenticação, controle de acesso e administração de ambientes corporativos. Em cenários de exploração bem-sucedida, os problemas podem permitir desde execução remota de código até a personificação de qualquer usuário dentro do serviço, abrindo caminho para acessos indevidos a sistemas legítimos da própria Cisco.

Entre as falhas corrigidas, a que mais preocupa em serviços em nuvem é a CVE-2026-20184, com pontuação CVSS 9.8, identificada na integração de single sign-on (SSO) com o Control Hub no Webex. O problema está relacionado a uma validação inadequada de certificados, o que pode permitir que um invasor remoto, sem autenticação prévia, se passe por qualquer usuário dentro do serviço. Na prática, isso significa que a vulnerabilidade pode comprometer a confiança do processo de autenticação federada, um dos pilares mais sensíveis em plataformas corporativas de colaboração.

Esse tipo de falha é especialmente crítico porque atinge justamente a camada responsável por validar a identidade do usuário. Em ambientes que dependem de SAML, provedores de identidade (IdP) e login centralizado, uma brecha dessa natureza não representa apenas um erro técnico isolado: ela ameaça a integridade de todo o fluxo de acesso. Por isso, embora a Cisco tenha informado que essa correção foi aplicada no lado do serviço por se tratar de uma plataforma em nuvem, a empresa orienta clientes que utilizam SSO a reenviar um novo certificado SAML do IdP no Control Hub como medida complementar de segurança.

Já no caso do Cisco ISE e do ISE-PIC, o foco está em três vulnerabilidades ainda mais severas do ponto de vista operacional. A primeira delas, CVE-2026-20147 com CVSS 9.9, decorre de uma validação insuficiente de entradas fornecidas pelo usuário. Segundo a fabricante, um invasor remoto autenticado, desde que esteja em posse de credenciais administrativas válidas, pode enviar requisições HTTP maliciosamente construídas para obter execução remota de código.

As outras duas falhas, CVE-2026-20180 e CVE-2026-20186, ambas também com CVSS 9.9, afetam múltiplos componentes do ISE e podem ser exploradas por um invasor autenticado que possua até mesmo credenciais administrativas com permissão apenas de leitura. A partir de requisições HTTP especialmente manipuladas, esse invasor poderia executar comandos arbitrários no sistema operacional subjacente ao equipamento afetado. Esse detalhe é particularmente grave porque mostra que, em determinados cenários, nem mesmo um perfil administrativo limitado é suficiente para conter o risco quando existem falhas de validação na aplicação.

De acordo com a Cisco, a exploração bem-sucedida dessas vulnerabilidades pode conceder ao hacker acesso em nível de usuário ao sistema operacional, com possibilidade posterior de elevação de privilégios até root. Em outras palavras, a falha pode servir como porta de entrada para o comprometimento completo do appliance, permitindo manipulação avançada do sistema, persistência e potencial uso do equipamento como pivô para novos movimentos dentro da rede.

O impacto pode ser ainda mais sensível em organizações que usam o ISE como peça central da política de acesso à rede. Em implantações de nó único, a exploração pode fazer com que o equipamento fique indisponível, causando uma condição de negação de serviço (DoS). Nesse cenário, dispositivos e usuários que ainda não tiverem sido autenticados podem simplesmente ficar sem acesso à rede até que o nó seja restaurado. Em ambientes corporativos, isso pode afetar desde autenticação de estações de trabalho até conectividade de dispositivos gerenciados, redes corporativas segmentadas e políticas de acesso baseadas em identidade.

O caso reforça um ponto importante sobre a segurança de soluções de identidade: o risco não está apenas no vazamento de credenciais, mas também na exploração de falhas lógicas ou de validação em sistemas que controlam quem entra, com quais permissões e em quais recursos. Quando uma plataforma como o Cisco ISE é comprometida, o problema ultrapassa a esfera de um único servidor e passa a atingir a governança de acesso de toda a infraestrutura.

Para corrigir o problema, a Cisco disponibilizou atualizações específicas conforme a versão em uso. No caso da CVE-2026-20147, as correções estão nas versões 3.1 Patch 11, 3.2 Patch 10, 3.3 Patch 11, 3.4 Patch 6 e 3.5 Patch 3 do ISE, enquanto implementações anteriores à versão 3.1 devem migrar para uma edição corrigida. Já para as falhas CVE-2026-20180 e CVE-2026-20186, as correções estão nas versões 3.2 Patch 8, 3.3 Patch 8, 3.4 Patch 4, sendo que o ISE 3.5 não é vulnerável a essas duas brechas. Ambientes anteriores à versão 3.2 também devem ser atualizados ou migrados para releases seguras.

Embora a empresa tenha afirmado que não há evidências de exploração ativa dessas falhas até o momento, a criticidade dos bugs exige atenção imediata. Isso porque vulnerabilidades em plataformas de identidade e autenticação costumam ter alto valor estratégico para hackers, especialmente em campanhas que buscam acesso inicial, escalonamento de privilégios ou comprometimento silencioso de serviços corporativos.

Na prática, o episódio serve como alerta para equipes de segurança e infraestrutura: não basta apenas aplicar patches de rotina. É essencial revisar o uso de credenciais administrativas, restringir acessos privilegiados, monitorar logs de autenticação e administração, validar integrações SSO e manter os appliances de controle de identidade em versões suportadas. Em um cenário em que identidade virou o novo perímetro da segurança, falhas como essas deixam claro que qualquer brecha nesse elo pode ter efeito em cascata sobre toda a operação.