Folgen Cisco hat Notfall-Sicherheitsupdates für eine Sicherheitslücke mit maximaler Schwere veröffentlicht, die die Identity Services Engine (ISE) und den ISE Passive Identity Connector (ISE-PIC) betrifft, nachdem eine aktive Ausnutzung in freier Wildbahn bestätigt wurde. Die als CVE-2026-76460 verfolgte Schwachstelle wird auf der CVSS-Skala mit 10,0 bewertet und ermöglicht es einem nicht authentifizierten entfernten Angreifer, die Authentifizierung zu umgehen und unbefugten Zugriff auf ein anfälliges Gerät zu erhalten.
Die Schwachstelle liegt in einem ISE-API-Endpunkt, der keine ausreichenden Authentifizierungskontrollen durchsetzt. Ein Angreifer kann eine speziell gestaltete Anfrage an das betroffene API senden und die webbasierte Management-Oberfläche ohne gültige Administratoranmeldeinformationen umgehen.
Das Problem ist besonders ernst, da Cisco davor warnt, dass eine erfolgreiche Ausnutzung den Angreifern möglicherweise letztendlich Befehlsausführung als Rootermöglicht. Diese Zugriffsberechtigung kann einem Bedrohungsakteur ermöglichen, das System zu verändern und möglicherweise Beweise für eine Kompromittierung zu entfernen oder zu verbergen, was die forensische Untersuchung erschwert.
Cisco hat die Schwachstelle am 16. September 2026 offengelegt. Am selben Tag hat CISA sie in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und den zivilen US-Bundesbehörden eine Frist bis zum 19. September 2026 gesetzt, um betroffene Systeme zu beheben.
Analyse von CVE-2026-76460
Aus einer defensiven Perspektive Analyse von CVE-2026-76460 beginnt es mit dem anfälligen Management-API. Cisco schreibt die Schwachstelle unzureichender Authentifizierungskontrolle an einem API-Endpunkt zu und ermöglicht so, dass eine gestaltete, nicht authentifizierte Anfrage Funktionalitäten erreicht, die normalerweise durch die Web-Management-Authentifizierungsschicht geschützt sein sollten.
Der CVSS-Vektor ist CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Dies bedeutet, dass das Problem netzwerkzugänglich ist, eine niedrige Angriffskomplexität aufweist, keine vorhandenen Berechtigungen erfordert und keine Benutzerinteraktion nötig ist. Es kann einen hohen Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit haben. Cisco klassifiziert die Schwachstelle als CWE-648: Falsche Verwendung von privilegierten APIs.
Die wichtigsten Details zu CVE-2026-76460 sind, dass keine spezielle Gerätekonfiguration für die Gefährdung erforderlich ist. Cisco gibt an, dass die Schwachstelle ISE und ISE-PIC unabhängig von der Konfiguration betrifft, was bedeutet, dass Organisationen sich nicht auf das Deaktivieren einer optionalen Funktion verlassen können, um die anfällige Bedingung zu beseitigen.
CVE-2026-76460 betrifft die folgenden Cisco ISE- und ISE-PIC-Veröffentlichungszweige vor ihren jeweiligen festen Patches:
- 3.1: behoben in 3.1 Patch 12
- 3.2: behoben in 3.2 Patch 11
- 3.3: behoben in 3.3 Patch 12
- 3.4: behoben in 3.4 Patch 7
- 3.5: behoben in 3.5 Patch 4
Cisco ISE 3.0 hat das Ende der Software-Wartung erreicht, und Kunden, die diesen Zweig noch verwenden, sollten zu einer unterstützten Version mit dem Sicherheitsfix migrieren.
Im Anfangsstadium umgeht eine erfolgreiche Ausnutzung die Authentifizierung auf der ISE-Management-Ebene. Ciscos Anleitung zur Reaktion auf Zwischenfälle macht jedoch deutlich, dass die Konsequenzen weiter reichen können. Das Unternehmen warnt, dass Angreifer, die die Schwachstelle erfolgreich ausnutzen, Befehlsausführung als Root auf dem betroffenen System erlangen können.
Root-Zugriff verändert das Bild der Reaktion auf Zwischenfälle erheblich. Ein Bedrohungsakteur könnte lokale Konfigurationen ändern, Protokollierungen manipulieren, auf sensible Daten zugreifen, die dem Gerät zur Verfügung stehen, Persistenz schaffen oder das kompromittierte Identitätssicherheitssystem als Ausgangspunkt für weitere Aktivitäten nutzen. Cisco hat die genaue technische Abfolge, durch die die anfängliche API-Authentifizierungsumgehung zur Befehlsausführung als Root führt, nicht öffentlich offengelegt, sodass die Beschreibung einer detaillierten Exploit-Kette derzeit spekulativ wäre.
Da ISE als Teil von Unternehmensauthentifizierungs-, Autorisierungs- und Netzwerkzugriffsabläufen verwendet wird, kann eine Kompromittierung auch weitreichendere Folgen haben als ein eigenständiger Anwendungsbruch. Ein Angreifer, der das System kontrolliert, könnte Zugang zu sensiblen Identitäts- und Netzwerkverwaltungsinformationen erhalten und möglicherweise Sicherheitsentscheidungen beeinflussen, die über die Plattform getroffen werden.
Cisco entdeckte die Schwachstelle bei der Lösung eines Supportfalls des Technical Assistance Center (TAC). Das Unternehmen hat das genaue Datum, an dem der zugrunde liegende Fehler oder die böswillige Aktivität erstmals identifiziert wurde, nicht offengelegt. Die öffentliche Beratung wurde am 16. September 2026 veröffentlicht.
Die Offenlegung stellt daher ein Zero-Day-Szenario dar: Cisco bestätigte, dass Bedrohungsakteure die Schwachstelle ausnutzten, bevor oder zu dem Zeitpunkt, als die Kunden das öffentliche Sicherheitsupdate erhielten. Der Anbieter hat die Bedrohungsakteure hinter der Kampagne, ihre Motivationen, geografischen Schwerpunkte oder die zielgerichteten Organisationen nicht identifiziert.
Ein zuverlässiges öffentliches PoC für CVE-2026-76460 wurde weder von Cisco noch in einem der beiden Berichtsanfragen zur Offenlegung erwähnt. Die Verfügbarkeit von öffentlichen Exploits und reale Ausnutzungen sind getrennte Themen; in diesem Fall besitzen bestätigte Angreifer bereits die Fähigkeit zur Ausnutzung, obwohl der Anbieter die technischen Anfragen zur Reproduktion nicht veröffentlicht hat.
Cisco hat jedoch nützliche IOCs und Suchanleitungen für CVE-2026-76460 bereitgestellt. Administratoren sollten das access.log auf verdächtige Benutzernamen überprüfen und die Überprüfung an jedem Knoten in einer verteilten ISE-Bereitstellung durchführen.
Cisco bietet das folgende Beispiel an:
admin#show logging application ise-kong/access.log | include dummyuser
Jeder übereinstimmende Eintrag kann auf bösartige Aktivitäten hinweisen und erfordert eine weitere Untersuchung. Zusätzliche API-Gateway-Zugriffsprotokolle können aus Support-Bündeln abgerufen und unter den ISE-Log-Verzeichnissen überprüft werden.
Das Unternehmen warnt auch, dass lokale Beweise nicht als vollständig behandelt werden können. Da erfolgreiche Angreifer Root-Rechte erhalten können, könnten sie Protokolle und andere Artefakte nach der Ausnutzung löschen oder ändern. Cisco empfiehlt daher, ISE-Telemetrie mit Netz- und Firewall-Protokollen zu korrelieren, die außerhalb des betroffenen Geräts gespeichert sind.
Sicherheitsteams sollten insbesondere nach unerwarteten ausgehenden Uploads von ISE-Knoten und Downloads von verdächtigen oder bösartigen IP-Adressen suchen, da diese möglicherweise Beweise liefern, die überleben, selbst wenn lokale Protokolle manipuliert wurden.
CVE-2026-76460 Minderung
Cisco gibt an, dass es keine Umgehungen gibt, die die Schwachstelle vollständig beheben. Organisationen sollten als Notfallmaßnahme jeden betroffenen ISE- oder ISE-PIC-Knoten auf die entsprechende gepatchte Version aktualisieren.
Die erforderlichen Fix-Versionen sind:
- Cisco ISE/ISE-PIC 3.1: Patch 12 oder später
- Cisco ISE/ISE-PIC 3.2: Patch 11 oder später
- Cisco ISE/ISE-PIC 3.3: Patch 12 oder später
- Cisco ISE/ISE-PIC 3.4: Patch 7 oder später
- Cisco ISE/ISE-PIC 3.5: Patch 4 oder später
Die primäre Maßnahme zur Minderung von CVE-2026-76460 ist das Patching. Cisco bietet eine vorübergehende Maßnahme zur Reduzierung der Exposition für Organisationen an, die nicht sofort aktualisieren können: Infrastrukturelle Zugriffskontrolllisten, oder iACLs, können den Verwaltungs- und Kontrollverkehr, der für das betroffene Gerät bestimmt ist, auf explizit vertrauenswürdige Systeme einschränken.
Diese Netzwerkbeschränkung kann helfen, zu verhindern, dass beliebige entfernte Systeme die anfällige Management-Ebene erreichen, aber Cisco behandelt Milderungsmaßnahmen ausdrücklich als vorübergehend und empfiehlt, auf gepatchte Software für eine vollständige Behebung zu aktualisieren.
Die Erkennung von CVE-2026-76460 sollte mit einem Inventar aller ISE- und ISE-PIC-Knoten und der Überprüfung ihres genauen Patch-Levels beginnen. In verteilten Bereitstellungen sollten Administratoren nicht nur den primären Knoten patchen oder prüfen; Cisco weist Kunden explizit an, jeden Knoten auf Beweise für versuchte Ausnutzung zu überprüfen.
Zur Erkennung von CVE-2026-76460-Ausnutzung und Aktivitäten nach Kompromittierung sollten Verteidiger Folgendes untersuchen:
- Verdächtige Benutzernamen in ise-kong/access.log
- Einträge, die mit dem vom Anbieter bereitgestellten Beispiel ‚dummyuser‘ übereinstimmen oder diesem ähneln
- Unerwartete API-Anfragen, die die ISE-Management-Ebene erreichen
- Neue oder ungeklärte administrative Aktivitäten
- Unerwartete Konfigurationsänderungen
- Ungewöhnliche Befehlsausführung auf einem ISE-Knoten
- Versuche, Anwendungsprotokolle zu löschen, zu kürzen oder zu manipulieren
- Unerwartete Uploads vom ISE-Gerät zu externen Systemen
- Downloads von verdächtigen oder zuvor unbekannten IP-Adressen
- Ausgehende Netzwerkverbindungen, die mit dem normalen ISE-Betrieb nicht übereinstimmen
- Unterschiede zwischen lokalen ISE-Protokollen und Netzwerk-, Proxy- oder Netzwerktelemetrie
Da Angreifer möglicherweise Root-Zugriff haben, sollte das Fehlen lokaler Indikatoren nicht als Beweis gewertet werden, dass ein exponiertes System nie kompromittiert wurde.
Wenn Verdacht auf bösartige Aktivitäten besteht, empfiehlt Cisco dringend, betroffene Knoten neu zu erstellen anstatt zu versuchen, sie vor Ort zu bereinigen. Die Konfiguration kann dann bei Bedarf aus einem vertrauenswürdigen Backup wiederhergestellt werden.
Organisationen sollten externe Beweismittel vor dem Wiederaufbau des Geräts bewahren. Firewall-Protokolle, NetFlow-Daten, Proxy-Telemetrie, DNS-Daten, SIEM-Ereignisse und andere Netzwerkaufzeichnungen können besonders wertvoll sein, da ein Angreifer mit Root-Rechten auf ISE lokale forensische Artefakte verändert haben könnte.
Sicherheitsteams sollten auch Anmeldeinformationen, Geheimnisse, Zertifikate, Administratorkonten und Integrationen überprüfen, die möglicherweise von einem kompromittierten ISE-Knoten aus zugänglich waren. Wenn es Hinweise darauf gibt, dass sensible Authentifizierungsmaterialien ausgesetzt wurden, sollten diese Anmeldeinformationen gedreht und nachgelagerte Systeme auf unbefugten Zugriff untersucht werden.
CISAs Aufnahme der Schwachstelle in KEV unterstreicht die Dringlichkeit. Die Agentur kategorisiert die Ausnutzung als aktiv, betrachtet das Problem als automatisierbar und bewertet seine technische Auswirkung als umfassend.
Angesichts der CVSS-Bewertung von 10,0, des nicht authentifizierten Netzwerk-Angriffspfads, der bestätigten aktiven Ausnutzung und des potenziellen Root-Zugriffs sollten Organisationen exponierte und ungepatchte Cisco ISE-Bereitstellungen als Notfallpriorität behandeln, anstatt auf ein reguläres Wartungsfenster zu warten.
FAQ
Was ist CVE-2026-76460 und wie funktioniert es?
CVE-2026-76460 ist eine kritische Authentifizierungsumgehungsschwachstelle in einem API-Endpunkt der Cisco Identity Services Engine und ISE-PIC. Unzureichende Authentifizierungskontrollen ermöglichen es einem nicht authentifizierten entfernten Angreifer, eine gestaltete Anfrage zu senden, die webbasierte Management-Oberfläche zu umgehen und unbefugten Zugriff auf das Gerät zu erhalten. Cisco warnt, dass eine erfolgreiche Ausnutzung letztendlich zu einer Befehlsausführung auf Root-Ebene führen kann.
Wann wurde CVE-2026-76460 erstmals entdeckt?
Cisco hat das genaue Entdeckungsdatum nicht offengelegt. Das Unternehmen sagt, die Schwachstelle wurde bei der Lösung eines Cisco TAC-Supportfalls identifiziert. Cisco hat die Schwachstelle am 16. September 2026 öffentlich bekannt gegeben und Patches veröffentlicht, als die aktive Ausnutzung bereits bekannt war.
Welche Auswirkungen hat CVE-2026-76460 auf Systeme?
Eine erfolgreiche Ausnutzung ermöglicht es zunächst einem nicht authentifizierten Angreifer, die Management-Authentifizierung zu umgehen und auf das betroffene ISE- oder ISE-PIC-Gerät zuzugreifen. Cisco warnt weiter, dass Angreifer möglicherweise Befehlsausführung mit Root-Rechten erlangen können, was ihnen die Fähigkeit gibt, das Gerät tiefgreifend zu kompromittieren und forensische Beweise potenziell zu verbergen.
Kann mich CVE-2026-76460 auch 2026 noch betreffen?
Ja. Cisco ISE- und ISE-PIC-Systeme bleiben anfällig, wenn sie nicht auf den erforderlichen festen Patch ihrer Veröffentlichungsversionen 3.1 bis 3.5 aktualisiert wurden. Das Problem wird bereits in realen Angriffen ausgenutzt und ist im KEV-Katalog von CISA aufgeführt.
Wie kann ich mich vor CVE-2026-76460 schützen?
Installieren Sie sofort Ciscos festen Patch auf jedem betroffenen ISE- und ISE-PIC-Knoten. Es gibt keine vollständige Umgehung. Bis das Patchen abgeschlossen ist, beschränken Sie den Verwaltungs- und Kontrollzugriff mit iACLs. Überprüfen Sie access.log und externe Netzwerk-Telemetrie auf Kompromittierungen und erstellen Sie betroffene Knoten neu, wenn bösartige Aktivitäten vermutet werden.
