Cisco ISE: CVSS 10-Fehler ausgenutzt, CISA gibt Frist
API-Authentifizierungs-Bypass im Identity Services Engine gewährt Root-Zugriff ohne Anmeldeinformationen. Cisco bietet keinen Workaround, und CISA hat die Schwachstelle im KEV mit einer Frist bis zum 19. September aufgeführt.
Cisco gab am 17. September bekannt, dass Angreifer aktiv eine CVSS 10.0-Schwachstelle im Identity Services Engine (ISE) ausnutzen, dem Netzwerkzugangspolitikserver, der weltweit in Banken, Telekommunikationsunternehmen und öffentlichen Behörden eingesetzt wird. Der Fehler, bekannt als CVE-2026-76460, ermöglicht es einem Angreifer ohne Anmeldeinformationen, eine gefälschte Anfrage an einen API-Endpunkt zu senden und die Ausführung von Befehlen mit Root-Rechten zu erhalten, ohne durch die Web-Administrationsoberfläche gehen zu müssen.
Das Incident Response Team von Cisco (PSIRT) entdeckte das Problem in einem Kunden-Supportanruf, wie übereinstimmende Berichte von SecurityWeek, The Hacker News und The Register zeigen. Es gibt keinen Workaround: der einzige Weg besteht darin, auf 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 oder 3.5 Patch 4 zu migrieren. Alle Versionen von 3.0 bis 3.5 des ISE und des ISE Passive Identity Connector sind betroffen, unabhängig von der Netzwerkkonfiguration.
CISA aktiviert Notfallrichtlinie
Die Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-76460 am 16. September in das Register der bekannten ausgenutzten Schwachstellen aufgenommen und eine Anordnung erlassen, dass die US-Bundesbehörden den Patch innerhalb von drei Tagen anwenden, mit Frist bis zum 19. September. Es ist die zweite Notfallrichtlinie von CISA zu Cisco-Schwachstellen innerhalb von etwas mehr als zwei Wochen, ein Zeichen dafür, dass die Geräte für Identität und Edge des Anbieters ein vorrangiges Ziel für Gruppen mit der Fähigkeit, Zero-Days auszunutzen, geworden sind.
Das Risiko geht über verspätete Patches hinaus. Das ISE verwaltet Zugangsrichtlinien für VPN, Unternehmens-Wi-Fi und 802.1X-Zugriff, und ein Angreifer mit Root-Rechten kann Protokolle löschen, Phantombenutzer erstellen und gültige interne Zertifikate ausstellen. Das bedeutet den Verlust von forensischen Beweisen genau dort, wo die Nachsorgeaudits normalerweise die Angriffszeitlinie rekonstruieren, was sowohl die sofortige Reaktion als auch die verpflichtende Kommunikation mit Regulierungsbehörden in Banken und Telekommunikationsunternehmen gefährdet.
Hinweise für Banken und Telekommunikationsunternehmen außerhalb der USA
Die Warnung von CISA bezieht sich nur auf US-Bundesbehörden, aber die installierte Basis des ISE ist global. Europäische Telekommunikationsanbieter wie Deutsche Telekom, Orange und Vodafone nutzen das Produkt in Netzwerk-Authentifizierungskernen. In Indien pflegen Integratoren wie TCS und Infosys ISE-Umgebungen für Finanzkunden in den Delivery-Centern in Bangalore und Pune. Auch brasilianische Banken setzen das ISE in Bereichen des Unternehmenszugangs und in Agenturnetzen ein, was Sicherheitsteams in eine sehr kurze Zeitspanne zwingt, um Patches in Umgebungen mit geringer Ausfalltoleranz anzuwenden.
Das praktische Problem in Banken und Telekommunikationsunternehmen ist die gleiche Falle, die in der Welle von Exploits der Cisco SD-WANs im ersten Halbjahr zu sehen war: Produktionsumgebungen mit aktiven-passiven Clustern erfordern geplante Wartungen, und viele Teams ziehen es vor, das Risiko für 48 Stunden zu akzeptieren, anstatt die Authentifizierung von Tausenden von Benutzern zu unterbrechen. Laut SecurityWeek ist dies der sechste explorierte Zero-Day in der Cisco-Basis im Jahr 2026, eine Häufigkeit, die das Argument bricht, dass Updates auf das nächste monatliche Fenster warten können. Fünf dieser sechs Fälle betrafen Produkte der Identitäts- und Randnetzwerkreihe, nicht die Kollaborations- oder traditionellen Server-Stacks.
Was es für den CIO bedeutet
Für CTOs und Sicherheitsleiter hat CVE-2026-76460 drei unmittelbare Auswirkungen. Die erste besteht darin, zu erkennen, dass die Identitätsoberfläche jetzt ebenso anfällig ist wie der Datengrenzbereich. AAA-Server wurden jahrelang als sekundäre Infrastruktur behandelt, und der Vorfall zeigt, dass ein Fehler in einer Verwaltungs-API einem Angreifer mehr Zugang gewähren kann als eine erfolgreiche Phishing-Attacke gegen einen Benutzer mit hohen Rechten.
Die zweite ist das Zeitfenster zwischen Offenlegung und Ausnutzung. Cisco hat bestätigt, dass die Ausnutzung vor der öffentlichen Bekanntgabe begann, was den Wert von Strategien, die auf einer 30-tägigen SLA für die Produktion basieren, mindert. Die dritte ist die tatsächlichen Kosten des Vendor Lock-ins bei Netzwerkidentitätsanbietern: Die Codebasis des ISE teilt sich betroffene Versionen zwischen 3.0 und 3.5, ohne Option zur Runtime-Minderung, was eine geplante Unterbrechung im Netzwerkzugangscluster erzwingt.
Wer hybridisierte Umgebungen verwaltet, sollte bis Dienstag mindestens zwei Maßnahmen ergreifen: die Exposition des Endpunkts ERS/APIs des ISE zum Internet überprüfen und Verwaltungszugriffsprotokolle mit IPs außerhalb der erwarteten Reichweite korrelieren. Das Muster von Zero-Days in Identitätsplattformen in diesem Jahr stellt eine unangenehme Frage für CISOs dar, die AAA-Server weiterhin als schwarze Kästchen behandeln, die vom Netzwerkteam betrieben werden: Die Kosten, diese Oberfläche unter dasselbe Patch-Regime wie Geschäftsanwendungen zu stellen, sind nicht mehr optional.