Ingeniero de IAM: 2026-09-19

1. Cisco corrige un zero-day crítico en ISE que ya se explota en ataques

   Una al día (Hispasec), 2026-09-17. Leer, 4 min.

   Cisco publicó parches para Identity Services Engine (ISE) e ISE Passive Identity Connector por CVE-2026-76460, un fallo con CVSS 10.0 por un control de autenticación insuficiente en un endpoint de API, que permite a un atacante remoto saltarse la autenticación sin credenciales y podría darle ejecución de comandos con privilegios de root. Cisco confirma que ya se explota en ataques reales y que no hay soluciones alternativas que eliminen el riesgo, y recomienda como mitigación listas de control de acceso de infraestructura (iACL) que limiten el tráfico de gestión y del plano de control.

   Por qué importa para este rol: ISE es parte de su plano de identidad en la red, así que confirme con quien administre ISE en su organización que la actualización a la versión parcheada se aplique esta semana. Si hay indicios de compromiso, Cisco recomienda reinstalar los nodos afectados y restaurar la configuración desde una copia, y conviene además rotar las credenciales y secretos compartidos que ISE custodia.

   Corrección del 2026-09-21: Una versión anterior decía que no existe mitigación y asignaba la actualización al área de identidad y no a la de redes. Cisco y el artículo indican que ninguna solución alternativa elimina el riesgo, pero sí recomiendan iACL como mitigación, y ninguna fuente dice a qué área le corresponde el parche. La pregunta se reescribió.

2. Vulnerabilidad crítica de WSO2 permite acceso total de administrador

   elhacker.NET, 2026-09-18. Leer, 2 min.

   WSO2 reveló CVE-2026-5430, una omisión de autenticación con puntuación CVSS de 10.0 en sus productos de gestión de API, que permite a un atacante remoto tomar el control de cuentas de administrador sin requerir autenticación previa ni interacción del usuario. El aviso original de WSO2 (WSO2-2026-5328) está fechado el 3 de mayo de 2026 y no menciona explotación activa.

   Por qué importa para este rol: Si WSO2 publica o protege sus API, una toma de la cuenta de administrador permite cambiar políticas de autenticación y emitir accesos a su nombre. Confirme esta semana qué integraciones de identidad dependen de esos despliegues, actualícelos y revise después quién tuvo sesión administrativa.

   Corrección del 2026-09-21: Una versión anterior daba por concluyente que una sesión administrativa sin inicio de sesión previo equivale a una cuenta tomada, y pedía tratar la actualización como trabajo del mismo día. Ninguna fuente valida esa regla ni ese plazo: la regla se plantea ahora como hipótesis de búsqueda y el plazo se retiró. El resumen añade la fecha del aviso original de WSO2.

Ingeniero de IAM