Cisco ISE: Zero-Day mit CVSS 10.0 wird aktiv ausgenutzt

Cisco hat am 16. September 2026 ein Sicherheitsadvisory zu CVE-2026-76460 veröffentlicht. Die Schwachstelle steckt in einer API der Identity Services Engine (ISE) und des ISE Passive Identity Connector (ISE-PIC), erlaubt nicht authentifizierten Angreifern aus der Ferne eine Umgehung der Anmeldung und trägt den höchstmöglichen CVSS-Basiswert 10.0. Laut Cisco reicht eine präparierte Anfrage an den betroffenen API-Endpunkt. Wer ISE oder ISE-PIC betreibt, ist unabhängig von der Konfiguration betroffen und sollte heute handeln, nicht im nächsten regulären Wartungsfenster.

Das Cisco Product Security Incident Response Team (PSIRT) gibt im Advisory ausdrücklich an, von aktiver Ausnutzung Kenntnis zu haben. Die US-Behörde CISA hat CVE-2026-76460 am 16. September 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und Bundesbehörden eine Frist bis zum 19. September 2026 gesetzt. Wer kein ISE und kein ISE-PIC einsetzt, ist von genau dieser Lücke nicht betroffen; das gilt auch für reine Cisco-Switch- oder Router-Umgebungen ohne zentrale ISE-Policy-Plattform. Für alle anderen gibt es laut Cisco keinen Workaround, sondern nur den Wechsel auf ein fehlerbereinigtes Release.

Was ist passiert?

Cisco hat das Advisory mit der Kennung cisco-sa-ISE-ABP-VNSW7Tn5 am 16. September 2026 um 16:00 GMT in Version 1.0 veröffentlicht. Beschrieben wird eine unzureichende Authentifizierungskontrolle an einem API-Endpunkt, im Advisory als CWE-648 (Incorrect Use of Privileged APIs) klassifiziert. Ein erfolgreicher Angriff verschafft unberechtigten Zugang zum Gerät, weil die webbasierte Verwaltungsoberfläche umgangen wird.

Bemerkenswert ist die Herkunft des Fundes: Cisco gibt im Advisory an, die Schwachstelle sei bei der Bearbeitung eines Supportfalls im Technical Assistance Center (TAC) entdeckt worden. Das deckt sich mit dem Bild eines Zero-Days, der zuerst im Feld auffiel und erst danach analysiert wurde. Details zu den Angreifern, zur Kampagne oder zur Zahl betroffener Systeme nennt Cisco nicht. Auch die Fachpresse liefert dazu bisher keine belastbaren Angaben, das ist also weiterhin offen.

Die Meldung fällt in eine größere Veröffentlichungswelle. Cisco hat am selben Tag ein ganzes Bündel von Advisories publiziert, das neben ISE auch das Secure Firewall Management Center (FMC) und das Nexus Dashboard betrifft. SecurityWeek zählt darin allein für ISE Patches für 20 CVEs, davon 12 als kritisch eingestuft. Diese weiteren Lücken sind nach derzeitigem Stand jedoch nicht als aktiv ausgenutzt gekennzeichnet. Wichtig für die Einordnung: Die aktiv ausgenutzten Firewall-Schwachstellen CVE-2026-20079 und CVE-2026-20316 gehören zum FMC- und ASA/FTD-Umfeld und sind ein anderes Ereignis als der hier beschriebene ISE-Zero-Day. Wer beides betreibt, muss beide Stränge getrennt prüfen.

Wer ist betroffen?

Betroffen sind laut Cisco ausschließlich Cisco ISE und Cisco ISE Passive Identity Connector (ISE-PIC), und zwar unabhängig von der Gerätekonfiguration. Es gibt also keine Einstellung, mit der sich die Anfälligkeit ausschließen lässt. Andere Produkte nennt Cisco im Abschnitt "Products Confirmed Not Vulnerable" nicht als betroffen.

Praktisch trifft das vor allem Umgebungen, die ISE als zentralen Punkt für 802.1X, Geräte-Onboarding, Gastzugänge, Profiling und Netzwerkzugriffsrichtlinien einsetzen. Genau dort ist der Schaden bei einer Übernahme besonders groß, weil die Plattform die Zugriffsentscheidungen für das restliche Netz trifft. In kleineren Umgebungen ohne zentrale Policy-Plattform steht ISE in der Regel gar nicht im Einsatz, dort besteht kein Handlungsdruck aus dieser Meldung.

Die folgende Übersicht gibt die von Cisco im Advisory genannten Release-Stände wieder.

Cisco ISE oder ISE-PIC Release	Erstes fehlerbereinigtes Release
3.1	3.1 Patch 12
3.2	3.2 Patch 11
3.3	3.3 Patch 12
3.4	3.4 Patch 7
3.5	3.5 Patch 4

Für Cisco ISE Release 3.0 gilt laut Advisory das Ende der Software-Wartung. Cisco verweist Kunden dieser Version auf die Migration zu einem unterstützten Release, das den Fix enthält. Wer noch auf 3.0 steht, hat also keinen Patch-Pfad, sondern ein Migrationsprojekt, und sollte die betroffenen Systeme bis dahin besonders eng am Netzrand abschirmen.

Wie kritisch ist das?

Der CVSS-3.1-Basiswert beträgt 10.0 mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. In Klartext: Der Angriff läuft über das Netz, ist technisch wenig aufwendig, benötigt weder Zugangsdaten noch eine Aktion eines Nutzers und wirkt sich über die Grenze der betroffenen Komponente hinaus aus. Der Angriffspfad ist eine Authentifizierungsumgehung, keine klassische Speicherfehler-Ausnutzung.

Entscheidend für die Risikobewertung ist ein Hinweis aus dem Advisory selbst: Cisco schreibt, dass Angreifer nach erfolgreicher Ausnutzung Befehlsausführung mit Root-Rechten erlangen können. Aus der Umgehung der Anmeldung wird damit faktisch eine vollständige Systemübernahme, inklusive der Möglichkeit, Spuren zu verwischen. Cisco weist ausdrücklich darauf hin, dass Beweise für eine Ausnutzung und Kompromittierungsindikatoren von den Angreifern entfernt oder versteckt worden sein können.

Die Kombination aus bestätigter aktiver Ausnutzung, fehlendem Workaround, CVSS 10.0 und der zentralen Rolle von ISE im Netzzugriff rechtfertigt eine Behandlung als Notfall. Die CISA-Frist von drei Tagen bis zum 19. September 2026 für US-Bundesbehörden ist ein zusätzlicher Indikator für die Lageeinschätzung der Behörde, auch wenn sie rechtlich für deutsche Unternehmen nicht gilt. Nicht belegt ist bislang ein Einsatz im Rahmen von Ransomware-Kampagnen; der KEV-Eintrag führt diesen Punkt als unbekannt.

Was sollten Admins jetzt tun?

• Bestand klären: Prüfen, ob ISE oder ISE-PIC überhaupt im Einsatz ist, und wenn ja, alle Knoten einer verteilten Bereitstellung erfassen. Einzelne vergessene Policy Service Nodes sind der häufigste blinde Fleck.
• Patchstand feststellen: Aktuellen Release- und Patch-Level je Knoten gegen die Tabelle oben abgleichen. Nur die dort genannten Patch-Stände enthalten den Fix.
• Patch einspielen: Da es laut Cisco keinen Workaround gibt, ist das Upgrade auf das fehlerbereinigte Release die einzige Behebung. Bei verteilten Bereitstellungen die von Cisco dokumentierte Upgrade-Reihenfolge einhalten.
• Exponierte Systeme zuerst: Knoten, deren Verwaltungsschnittstelle aus nicht vertrauenswürdigen Netzen erreichbar ist, vorziehen. Cisco nennt als Maßnahme, nicht als Workaround, Infrastruktur-Zugriffslisten (iACLs), die ausschließlich benötigten Management- und Control-Plane-Verkehr zum Gerät zulassen.
• Logs prüfen: Das Advisory nennt die access.log als Indikatorquelle und empfiehlt, auf unerwartete Benutzernamen zu achten, und zwar auf jedem Knoten der Bereitstellung.
• Umgebungslogs gegenprüfen: Weil Angreifer mit Root-Rechten lokale Spuren löschen können, zusätzlich Firewall- und Netzwerkprotokolle außerhalb des Geräts auswerten, insbesondere auf unerwartete Uploads zu externen Adressen oder Downloads von auffälligen IP-Adressen.
• Bei Verdacht neu aufsetzen: Cisco empfiehlt bei Hinweisen auf bösartige Aktivität ausdrücklich, die betroffenen Knoten neu zu installieren und bei Bedarf aus einem Konfigurations-Backup wiederherzustellen. Ein bloßes Nachpatchen reicht dann nicht.
• Backups prüfen: Vor dem Upgrade ein aktuelles Konfigurations-Backup ziehen und dessen Wiederherstellbarkeit prüfen, damit der Notfallpfad im Ernstfall auch trägt.

Für die Log-Prüfung nennt Cisco im Advisory ein konkretes Beispielkommando auf der ISE-Konsole:

# Beispiel aus dem Cisco-Advisory: access.log auf unerwartete Benutzernamen pruefen
show logging application ise-kong/access.log | include dummyuser

Cisco bezeichnet das ausdrücklich als nicht abschließendes Beispiel. Der Benutzername im Filter ist nur ein Muster, kein garantierter Indikator. Für eine vollständige Auswertung verweist das Advisory darauf, ein Support-Bundle inklusive Debug-Logs zu erzeugen, es mit einem gemeinsamen Schlüssel zu verschlüsseln und die Zugriffsprotokolle anschließend unter ./ise/logs/apigateway/ auszuwerten. Jeder Eintrag im Ergebnis kann auf bösartige Aktivität hindeuten und gehört genauer untersucht.

Einordnung für Unternehmen

ISE ist kein Randsystem. Die Plattform entscheidet, welches Gerät und welcher Nutzer überhaupt ins Netz darf, und wird häufig als Baustein von Zero-Trust-Konzepten eingesetzt. Wer die Kontrolle über diese Instanz verliert, verliert nicht nur einen Server, sondern die Vertrauensbasis für die Netzzugriffssteuerung. Genau deshalb ist hier die Wiederherstellungsfrage so wichtig wie die Patchfrage.

Für kleine und mittlere Unternehmen ergeben sich daraus zwei praktische Konsequenzen. Erstens: Management-Oberflächen zentraler Netzkomponenten gehören nicht in erreichbare Netzbereiche, sondern hinter klar definierte Zugriffslisten oder ein getrenntes Managementnetz. Das hätte diese Lücke nicht geschlossen, aber die Angriffsfläche deutlich verkleinert. Zweitens: Ein dokumentierter, getesteter Wiederherstellungsweg für Appliances ist kein Papierthema. Cisco empfiehlt in diesem Fall explizit eine Neuinstallation, und das ist ohne belastbares Konfigurations-Backup ein echtes Ausfallrisiko.

Auffällig ist außerdem die Häufung: Wenige Tage vor diesem Advisory hatte Cisco bereits eine aktiv ausgenutzte kritische Lücke in AsyncOS für das Secure Email Gateway gemeldet (CVE-2026-76461, CVSS 9.8). Für Betreiber mehrerer Cisco-Produkte heißt das, die Patch-Planung derzeit eng zu takten und sich an der tatsächlichen Ausnutzung zu orientieren statt allein an CVSS-Werten.

Passende Anleitungen auf S-EDV

• Cisco ISE: Kritische Sicherheitslücke trotz erforderlicher Adminrechte: Hintergrund zu einem früheren ISE-Advisory vom Juni 2026, das eine andere Schwachstelle (CVE-2024-20272) betraf und Adminrechte voraussetzte.
• Cisco Secure Email Gateway: Root-Lücke aktiv ausgenutzt: Der wenige Tage ältere Fall aus dem gleichen Herstellerumfeld, ebenfalls mit bestätigter Ausnutzung.
• CISA KEV-Katalog als Werkzeug zur Patch-Priorisierung: Wie sich der Katalog bekannter ausgenutzter Schwachstellen für die eigene Priorisierung nutzen lässt.

Quellen

• Cisco Security Advisory cisco-sa-ISE-ABP-VNSW7Tn5: Cisco Identity Services Engine Authentication Bypass Vulnerability (Primärquelle, Version 1.0 vom 16. September 2026, abgerufen am 18. September 2026): CVE-ID, CVSS 10.0, CWE-648, betroffene Produkte, Fixed Releases, Indikatoren, fehlender Workaround.
• CISA Known Exploited Vulnerabilities Catalog (Katalogversion 2026.09.16, abgerufen am 18. September 2026): Aufnahme von CVE-2026-76460 am 16. September 2026, Frist 19. September 2026, Ransomware-Nutzung unbekannt.
• The Hacker News: Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks (17. September 2026): Einordnung der Meldung und Übersicht der begleitenden Advisories.
• BleepingComputer: Cisco warns of max severity ISE zero-day exploited in attacks (17. September 2026): Zusammenfassung der Patch-Stände und der empfohlenen Maßnahmen.
• SecurityWeek: Cisco Fixes Dozens of Flaws Across FMC, ISE and Nexus Dashboard (17. September 2026): Umfang der Sammelveröffentlichung, Abgrenzung der FMC- und ASA/FTD-Themen.