Cisco ISE: Zero-Day mit Höchstwertung 10,0 wird aktiv ausgenutzt — Angreifer umgehen die Anmeldung und bekommen Root

Cisco warnt vor einer Sicherheitslücke in seiner Identity Services Engine (ISE), die bereits aktiv angegriffen wird und die höchstmögliche Bewertung von 10,0 Punkten trägt. Ein Angreifer aus dem Netz kann ohne Anmeldedaten die Authentifizierung der Weboberfläche umgehen und anschließend Befehle mit Root-Rechten ausführen. Die Lücke trägt die Kennung CVE-2026-76460; Patches für alle unterstützten Versionen sind da, einen Workaround gibt es nicht.

ISE ist die zentrale Zugangskontrolle vieler Unternehmensnetze: Sie entscheidet, welches Gerät und welcher Nutzer in welches VLAN darf, verwaltet Gastzugänge und RADIUS-Authentifizierung. Wer diese Instanz übernimmt, sitzt an der Stelle, die den Zutritt zum gesamten Netz regelt.

Das Wichtigste in Kürze

• CVE-2026-76460, CVSS 10,0: Authentifizierungsumgehung über einen API-Endpunkt in Cisco ISE und ISE Passive Identity Connector (ISE-PIC), unabhängig von der Konfiguration.
• Wird aktiv ausgenutzt. Cisco bestätigt Angriffe, nennt aber weder Umfang noch Täter. CISA hat die Lücke am 16. September in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen; US-Bundesbehörden müssen bis zum 19. September patchen.
• Fix: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, 3.5 Patch 4. Kein Workaround; als Übergangsmaßnahme Infrastruktur-ACLs, die nur nötigen Management-Verkehr zum Gerät durchlassen.
• Prüfen: Das access.log auf unbekannte Benutzernamen durchsuchen, auf jedem Knoten einer verteilten Installation. Bei Fund: Knoten neu aufsetzen, Konfiguration aus Backup zurückspielen.
• Am selben Tag hat Cisco eine zweite Lücke mit 10,0 (CVE-2026-76423) und fünf weitere kritische ISE-Fehler geschlossen, für die es noch keine Angriffe gibt.
• Tage zuvor: aktiv ausgenutzte Lücke im Secure Email Gateway (CVE-2026-76461, CVSS 9,8).

Was passiert ist

Laut Ciscos Advisory vom 16. September fehlt an einem API-Endpunkt der ISE eine ausreichende Authentifizierungsprüfung. Ein speziell gebauter Request an diesen Endpunkt verschafft dem Angreifer Zugang zum Gerät, vorbei an der webbasierten Verwaltungsoberfläche. Von dort aus, so Cisco, können Angreifer Befehle mit Root-Rechten ausführen — und damit auch die Spuren beseitigen, die ein Einbruch normalerweise hinterlässt.

Das ist der Grund, warum Cisco ungewöhnlich deutlich wird: Wer in den Logs Hinweise findet, soll den Knoten nicht bereinigen, sondern neu installieren und die Konfiguration aus einem Backup wiederherstellen. Ein Angreifer mit Root kann Logs bearbeiten, Hintertüren in Systemdateien legen und Prüfungen unterlaufen. Ein sauberes Image ist die einzige Gewissheit.

Prüfen, ob die eigene Installation betroffen ist

Cisco nennt als Indikator verdächtige Benutzernamen im Zugriffsprotokoll des API-Gateways. Der Befehl auf der ISE-Kommandozeile lautet:

admin# show logging application ise-kong/access.log | include dummyuser

Jeder Treffer deutet laut Cisco auf bösartige Aktivität hin. Wichtig: Bei einer verteilten Installation muss das auf jedem Knoten passieren, nicht nur auf dem primären Admin-Node. Und die Abwesenheit von Treffern ist keine Entwarnung — ein Angreifer mit Root-Rechten kann die Einträge entfernt haben.

Was zu tun ist

1. Sofort patchen auf die genannte Version der jeweiligen Reihe. Wer noch auf 3.1 oder 3.2 ist, sollte den Anlass für den Sprung auf eine aktuelle Reihe nutzen — die parallel geschlossenen Lücken sind dort teils nur durch Migration behebbar.
2. Bis zum Patch den Zugriff auf die Management-Schnittstelle per Infrastruktur-ACL auf die Adressen beschränken, die ihn wirklich brauchen. Eine ISE-Verwaltungsoberfläche hat im Internet nichts verloren, und auch im internen Netz nicht auf jedem Client.
3. Logs prüfen wie oben, auf allen Knoten.
4. Bei Verdacht: Knoten neu aufsetzen, Konfiguration aus Backup, alle auf der ISE hinterlegten Zertifikate und Passwörter tauschen — insbesondere die Anbindungen an Active Directory und die RADIUS-Shared-Secrets.

Einordnung

ISE ist in den letzten anderthalb Jahren zu einem Dauergast in den Sicherheitsmeldungen geworden: Im Juli 2025 nutzten Angreifer eine Lücke mit 10,0 (CVE-2025-20337), um eine als ISE-Komponente getarnte Web-Shell abzulegen; jetzt folgt die nächste Umgehung der Authentifizierung, wieder mit Höchstwertung, wieder vor dem Patch ausgenutzt. Für ein Produkt, dessen einzige Aufgabe die Zugangskontrolle ist, ist das ein schlechtes Muster. Betreiber sollten die ISE inzwischen wie ein exponiertes System behandeln: Management-Zugang strikt begrenzt, Patches am Tag des Erscheinens, Logs regelmäßig ausgewertet.

Für Heimnetze ist die Meldung ohne direkte Folgen — ISE ist Unternehmenssoftware. Wer aber im Homelab mit Netzwerkzugangskontrolle experimentiert oder beruflich mit Cisco-Infrastruktur zu tun hat, sollte die Woche zum Anlass nehmen, die eigene Patch-Disziplin zu prüfen.

Häufige Fragen

Was ist Cisco ISE?

Die Identity Services Engine ist Ciscos Plattform für Netzwerkzugangskontrolle: Sie authentifiziert Nutzer und Geräte, weist sie Netzsegmenten zu und setzt Sicherheitsrichtlinien durch. ISE-PIC ist eine abgespeckte Variante, die nur Identitäten aus anderen Quellen sammelt.

Gibt es einen Workaround?

Nein. Cisco nennt ausschließlich das Update. Infrastruktur-ACLs verringern die Angriffsfläche, beheben die Lücke aber nicht.

Ist die Lücke aus dem Internet ausnutzbar?

Ja, sofern die Management-Schnittstelle erreichbar ist. Der Angreifer braucht keine Anmeldedaten.

Reicht der Patch, wenn schon jemand drin war?

Nein. Cisco empfiehlt in diesem Fall, die betroffenen Knoten neu zu installieren, weil Root-Zugriff das Verstecken von Hintertüren erlaubt.

Quellen: Cisco Security Advisory vom 16.09.2026, CISA Known Exploited Vulnerabilities Catalog, Berichterstattung von The Hacker News, BleepingComputer und SecurityWeek (17.09.2026). Abgerufen am 17.09.2026.