Cisco ISE Zero-Day: Wenn die Zugangskontrolle selbst zum Root-Ziel wird

Clara (AI generiert)

18. Sep. 2026 5 min read

Cisco ISE Zero-Day: Wenn die Zugangskontrolle selbst zum Root-Ziel wird

Wer darf ins Unternehmensnetz, mit welchem Gerät und unter welchen Bedingungen? In vielen großen Umgebungen beantwortet Cisco Identity Services Engine diese Frage zentral. Genau deshalb ist die am 16. September veröffentlichte Schwachstelle CVE-2026-76460 mehr als ein gewöhnlicher Patch-Fall: Eine bereits aktiv ausgenutzte Lücke erlaubt es einem nicht authentifizierten Angreifer, die Anmeldung an der Management-Schnittstelle zu umgehen. Cisco bewertet sie mit dem maximalen CVSS-Wert 10,0.[1]

Das Praxisproblem liegt in der Rolle des Systems. ISE ist nicht nur eine weitere Webanwendung, sondern ein Kontrollpunkt für Network Access Control, Identitäten und richtlinienbasierte Zugriffe. Wird dieser Kontrollpunkt kompromittiert, muss ein Unternehmen nicht nur das Gerät aktualisieren. Es muss auch prüfen, ob Netzwerk- und Identitätsentscheidungen während des möglichen Angriffszeitraums vertrauenswürdig geblieben sind.

Was technisch bekannt ist

Cisco beschreibt die Ursache als unzureichende Authentifizierungskontrolle an einem API-Endpunkt. Ein entfernter Angreifer kann eine präparierte Anfrage senden und dadurch die webbasierte Management-Schnittstelle umgehen. Weder gültige Zugangsdaten noch eine Interaktion eines Benutzers sind erforderlich. Betroffen sind Cisco ISE und der Passive Identity Connector ISE-PIC unabhängig von ihrer Konfiguration.[1]

Der CVSS-Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H macht die Einordnung nachvollziehbar: Der Angriff ist über das Netz möglich, benötigt geringe Komplexität, keine Privilegien und keine Benutzeraktion; Vertraulichkeit, Integrität und Verfügbarkeit können stark betroffen sein. Cisco führt die Schwachstelle unter CWE-648, „Incorrect Use of Privileged APIs“.[1]

Nach übereinstimmender Berichterstattung von SecurityWeek und The Register kann eine erfolgreiche Ausnutzung bis zur Befehlsausführung mit Root-Rechten führen. Damit kann ein Angreifer nicht nur die Appliance kontrollieren, sondern auch lokale Spuren löschen oder verbergen.[3][4] Cisco wurde bei der Bearbeitung eines Support-Falls des Technical Assistance Center auf die Schwachstelle aufmerksam und bestätigt aktive Ausnutzung. Wer hinter den Angriffen steht, seit wann sie laufen und welche konkreten Folgeaktionen beobachtet wurden, ist öffentlich bislang nicht bekannt.[1][4]

Patchen ist notwendig, aber nicht immer ausreichend

Cisco stellt Korrekturen in folgenden Versionen bereit:

ISE beziehungsweise ISE-PIC 3.1 Patch 12
Version 3.2 Patch 11
Version 3.3 Patch 12
Version 3.4 Patch 7
Version 3.5 Patch 4

ISE 3.0 hat das Ende der Software-Wartung erreicht und muss auf eine unterstützte Version migriert werden. Einen Workaround, der die Schwachstelle behebt, gibt es laut Hersteller nicht.[1][3]

Infrastruktur-Access-Control-Lists können den erreichbaren Management- und Control-Plane-Verkehr als vorläufige Risikoreduktion einschränken. Das ist sinnvoll, ersetzt aber weder das Update noch die Prüfung auf eine bereits erfolgte Kompromittierung. Gerade bei einem System, das Netzwerkidentitäten zusammenführt und Zugriffsentscheidungen unterstützt, darf „nicht direkt aus dem Internet erreichbar“ nicht mit „nicht angreifbar“ verwechselt werden. Auch kompromittierte interne Systeme, VPN-Zugänge oder falsch segmentierte Administrationsnetze können einen Pfad zum API-Endpunkt eröffnen.

Die US-Behörde CISA nahm CVE-2026-76460 noch am 16. September in den Known Exploited Vulnerabilities Catalog auf. US-Bundesbehörden müssen die Lücke bis zum 19. September behandeln. Die kurze Frist ist kein allgemeingültiger Unternehmensstandard, aber ein klares Priorisierungssignal: Hier treffen geringe Angriffshürden, hoher technischer Impact und bestätigte Ausnutzung zusammen.[2]

Branchenkontext: Identity-Infrastruktur ist Tier-0

Unternehmen schützen Domain Controller, Identity Provider und Privileged-Access-Systeme häufig als „Tier 0“. Network-Access-Control-Systeme gehören in dieselbe Risikoklasse, auch wenn sie organisatorisch oft beim Netzwerkteam statt beim IAM-Team liegen. Sie verbinden Geräteidentität, Benutzerkontext, Richtlinien und Netzwerkdurchsetzung. Eine Kompromittierung kann deshalb mehrere Sicherheitsdomänen gleichzeitig berühren.

Der Fall zeigt außerdem eine Grenze rein CVSS-basierter Prozesse. Der Wert 10,0 ist hier zwar eindeutig, entscheidend sind aber drei zusätzliche Faktoren: aktive Ausnutzung, die zentrale Vertrauensrolle von ISE und die Möglichkeit, lokale Indikatoren mit Root-Rechten zu manipulieren. Ein Asset-Inventar, das ISE lediglich als „Netzwerk-Appliance“ führt, unterschätzt seinen tatsächlichen Blast Radius.

Parallel veröffentlichte Cisco zahlreiche weitere ISE-Sicherheitskorrekturen. Diese sollten in derselben Wartungsplanung berücksichtigt werden, ohne die aktiv ausgenutzte CVE mit einer langen Schwachstellenliste zu verwässern. Operativ gilt: zuerst CVE-2026-76460 und exponierte Managementpfade behandeln, anschließend die vollständige Hardening-Version und abhängige Komponenten prüfen.

Konkrete Implikationen für Unternehmen

1. Bestand und Erreichbarkeit sofort klären. Verantwortliche sollten alle ISE- und ISE-PIC-Knoten samt Version, Patchstand, Rolle und Management-IP erfassen. Dazu gehören auch Testsysteme, Disaster-Recovery-Knoten und Appliances in getrennten Standorten. Anschließend muss geprüft werden, von welchen Netzen und über welche Proxys, VPNs oder Jump Hosts die Management-API erreichbar ist.

2. Auf eine korrigierte Version aktualisieren. Die vom Hersteller genannten Patchstände sind die Mindestbasis. Bei ISE 3.0 ist keine Ausnahmefreigabe auf Dauer vertretbar; der notwendige Versionswechsel sollte als Sicherheitsmigration behandelt werden. Konfigurations- und Wiederherstellungsdaten sind vorab zu sichern, dürfen aber nicht ungeprüft aus einem potenziell kompromittierten System übernommen werden.

3. Forensik vor dem Aufräumen sichern. Cisco empfiehlt laut aktueller Berichterstattung, unter anderem access.log auf verdächtige Benutzernamen zu prüfen.[5] Zusätzlich sollten vorgelagerte Firewall-, Load-Balancer-, Reverse-Proxy-, VPN- und NetFlow-Daten gesichert werden. Externe Telemetrie ist besonders wichtig, wenn ein Angreifer auf der Appliance selbst Spuren entfernen konnte. Zeitstempel, neue Konten, Richtlinienänderungen, administrative Sessions und ungewöhnliche ausgehende Verbindungen gehören in die Untersuchung.

4. Bei Hinweisen nicht nur patchen. Wenn Indikatoren auf eine Ausnutzung hindeuten, sollte der Knoten isoliert und nach Herstellerempfehlung neu aufgesetzt werden. Danach sind Konfigurationen aus einem nachweislich sauberen Stand wiederherzustellen. Abhängige Administrator-Credentials, API-Schlüssel, Zertifikate und erreichbare Verzeichnis- oder Netzwerkzugänge müssen auf Missbrauch geprüft und bei plausibler Exposition rotiert werden.

5. Den Kontrollpunkt dauerhaft segmentieren. ISE-Management gehört in ein dediziertes Administrationsnetz mit expliziter Quellfreigabe, starker Administratorauthentifizierung und zentraler Protokollausleitung. Der operative Datenverkehr des Systems und der Managementzugriff sollten getrennt betrachtet werden. Auch Monitoring muss außerhalb der Appliance liegen, damit ein kompromittierter Knoten nicht allein über seine eigene Integrität berichtet.

Risiken und Grenzen der Einordnung

Aktive Ausnutzung ist bestätigt, ein öffentlich belastbares Bild der Kampagne fehlt jedoch. Es gibt bislang keine verifizierte Opferzahl, keine öffentlich benannte Tätergruppe und keine vollständige Angriffskette nach dem initialen Zugriff. Deshalb wäre es unseriös, von einer flächendeckenden Kompromittierung aller erreichbaren ISE-Systeme zu sprechen.

Ebenso bedeutet der CVSS-Wert 10,0 nicht, dass jedes betroffene System aus dem Internet erreichbar ist. Die tatsächliche Exposition hängt von Netzsegmentierung und Managementzugängen ab. Umgekehrt senkt interne Platzierung die Priorität nicht auf normal: Ein bereits im Netz befindlicher Angreifer kann gerade zentrale Managementsysteme als Ziel für Privilegienausweitung und Persistenz nutzen.

Fazit

CVE-2026-76460 trifft einen Teil der Infrastruktur, der selbst Vertrauen verteilt. Deshalb besteht die richtige Reaktion aus drei Schritten: Zugriffspfad einschränken, sofort auf einen korrigierten Stand aktualisieren und parallel forensisch prüfen, ob die Appliance bereits missbraucht wurde.

Die strategische Lehre reicht über Cisco ISE hinaus. Systeme, die Identitäten, Netzwerkzugang oder Sicherheitsrichtlinien steuern, sind keine gewöhnlichen Appliances. Sie sind privilegierte Kontrollflächen und müssen entsprechend inventarisiert, segmentiert, extern überwacht und in Incident-Response-Plänen als Tier-0-Systeme behandelt werden.