AntwortenVeröffentlicht22 Quellen
Cisco ISE: CVE-2026-76460 ermöglicht Root-Zugriff ohne Anmeldung
CVE 2026 76460 ist eine aktiv ausgenutzte Schwachstelle mit CVSS 10,0 in Cisco ISE und ISE PIC: Eine präparierte API Anfrage kann die Anmeldung umgehen und Root Befehlsausführung ermöglichen – ohne Zugangsdaten oder N... CISA nahm die Lücke am 16.
Veröffentlicht vonBearbeitet mit GPT-5.6 TerraBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- CVE 2026 76460 ist eine aktiv ausgenutzte Schwachstelle mit CVSS 10,0 in Cisco ISE und ISE PIC: Eine präparierte API Anfrage kann die Anmeldung umgehen und Root Befehlsausführung ermöglichen – ohne Zugangsdaten oder N...
- CISA nahm die Lücke am 16. September 2026 in den Katalog Known Exploited Vulnerabilities auf und setzte für zivile US Bundesbehörden eine Frist bis zum 19.
- Betroffene oder verdächtige ISE Knoten sollten als Incident Response Fälle behandelt werden: Beweise sichern, Zugriffe und Konfigurationsänderungen prüfen und kompromittierte Systeme neu aufsetzen.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the significance of Cisco’s actively exploited maximum-severity zero-day CVE-2026-76460 in Cisco Identity Services Engine (ISE) and. Article summary: CVE-2026-76460 is an emergency, internet-facing identity-infrastructure compromise risk: an unauthenticated remote attacker can send a crafted request to a vulnerable ISE/ISE-PIC API endpoint, bypass authentication, and . Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
CVE-2026-76460 ist besonders folgenschwer, weil die Schwachstelle eine Identitäts- und Zugriffskontrollplattform betrifft und bereits aktiv ausgenutzt wird. Betroffen sind Cisco Identity Services Engine (ISE) und ISE Passive Identity Connector (ISE-PIC). Ein nicht authentifizierter Angreifer kann über einen verwundbaren API-Endpunkt die Anmeldung umgehen. Laut Cisco kann eine erfolgreiche Ausnutzung die Ausführung von Befehlen mit Root-Rechten auf dem betroffenen Gerät ermöglichen. 1
3
48
Warum diese Zero-Day-Lücke höchste Priorität hat
Die Schwachstelle hat mit CVSS 10,0 die maximal mögliche Bewertung. Sie betrifft ISE und ISE-PIC unabhängig von der Gerätekonfiguration. Für einen Angriff sind weder gültige Zugangsdaten noch eine Interaktion durch Nutzer nötig: Eine präparierte Anfrage an den betroffenen API-Endpunkt genügt, um die webbasierte Verwaltungsoberfläche zu umgehen. 1
3
40
Cisco meldete die aktive Ausnutzung am 16. September 2026. Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-76460 am selben Tag in ihren Katalog der Known Exploited Vulnerabilities (KEV) auf. Für zivile Bundesbehörden der USA galt eine Behebungsfrist bis zum 19. September. 1
9
15
Einen Workaround, der die zugrunde liegende Schwachstelle beseitigt, gibt es nicht. Für unterstützte Releases ist die Installation der korrigierten Cisco-Software die Abhilfe. 2
16
Was die Authentifizierungsumgehung in ISE bedeutet
ISE ist eine Plattform für Netzwerkidentität und Zugangskontrolle. Ein erfolgreicher Angriff kann damit einen besonders wertvollen Kontrollpunkt der IT-Infrastruktur gefährden. Technisch liegt das unmittelbare Problem in einer unzureichenden Authentifizierung eines API-Endpunkts: Eine präparierte Anfrage kann die vorgesehenen Zugriffskontrollen umgehen. 1
40
Die Folgen gehen laut den Berichten deutlich über den bloßen Zugriff auf die Verwaltungsoberfläche hinaus. Ein nicht authentifizierter Angreifer kann Befehle mit Root-Rechten ausführen und damit die betroffene Appliance oder den virtuellen Knoten kontrollieren. 3
48
Für Organisationen mit verwundbaren Systemen ist dies ein möglicher Incident-Response-Fall – insbesondere, wenn Verwaltungs- oder API-Schnittstellen von ISE aus nicht vertrauenswürdigen Netzen oder breit zugänglichen internen Segmenten erreichbar sind. Die öffentliche Berichterstattung bestätigt die aktive Ausnutzung, nennt jedoch weder Angreifer noch Zahl oder Art der Opfer, Exploit-Werkzeuge, Zeitpunkt der ersten Ausnutzung oder bestätigte Aktivitäten nach einer Kompromittierung. 1
15
Korrigierte Releases für Cisco ISE und ISE-PIC
Cisco nennt folgende erste korrigierte Versionen:
| Release-Zweig | Erste korrigierte Version |
|---|---|
| ISE / ISE-PIC 3.1 | 3.1 Patch 12 |
| ISE / ISE-PIC 3.2 | 3.2 Patch 11 |
| ISE / ISE-PIC 3.3 | 3.3 Patch 12 |
| ISE / ISE-PIC 3.4 | 3.4 Patch 7 |
| ISE / ISE-PIC 3.5 | 3.5 Patch 4 |
Organisationen mit ISE 3.0 müssen die Migration auf einen unterstützten Release einplanen. Version 3.0 hat das Ende der Softwarewartung erreicht und erhält keinen Fix. Während der Migration kann eine starke Einschränkung des administrativen und API-Zugriffs die Angriffsfläche reduzieren. Sie ersetzt aber keinesfalls den Wechsel auf eine unterstützte, korrigierte Version. 2
16
48
Praktischer Plan für die Sofortreaktion
1. Alle betroffenen Knoten erfassen und unterstützte Installationen patchen
Inventarisieren Sie ISE- und ISE-PIC-Installationen vollständig – einschließlich Administration-, Policy-Service-, Monitoring- und Passive-Identity-Knoten. Prüfen Sie jeweils Release und Patchstand. Aktualisieren Sie unterstützte Systeme unverzüglich auf die passende erste korrigierte Version oder eine neuere Version. 3
13
2. Vor potenziell störenden Änderungen Beweise sichern
Sichern Sie, soweit betrieblich möglich, vor Patchen oder Neuaufsetzen relevante Logs, System- und Netzwerkzustände, Konfigurationsdaten sowie ein vom Hersteller unterstütztes Support-Bundle. Der KEV-Eintrag der CISA verweist zusätzlich zu den Herstellerhinweisen auf forensische Triage-Anforderungen. 1
3. Auf Anzeichen unbefugter Zugriffe untersuchen
Prüfen Sie ISE-Anwendungs- und administrative Audit-Protokolle auf unerwartete API-Aktivität, Authentifizierungsereignisse, Änderungen an Administratoren, Richtlinien oder Zertifikaten, Konfigurationsexporte und Änderungen an Repositories. Korrelationen mit Firewall-, VPN-, Reverse-Proxy- oder Load-Balancer-, DNS-, EDR- und Netzwerkflussdaten helfen, Verbindungen zu ISE-Verwaltungsschnittstellen oder ungewöhnliche ausgehende Aktivitäten zu erkennen.
Der Untersuchungszeitraum sollte von vor dem Patchen bis zur Gegenwart reichen. Eine unauffällige Weboberfläche allein belegt nicht, dass ein System nie erreicht wurde – insbesondere, da die gemeldete Auswirkung Root-Befehlsausführung einschließt. 3
48
4. Potenziell kompromittierte Systeme neu aufsetzen
Das Patchen schließt den verwundbaren Einstiegspunkt, beweist aber nicht, dass ein zuvor kompromittierter Host sauber ist. Setzen Sie einen Knoten neu auf, statt ihn nur zu patchen, wenn es Hinweise auf eine Ausnutzung gibt, nicht erklärbare Änderungen mit Root-Rechten vorliegen, verdächtige Prozesse, Dateien oder Verbindungen entdeckt werden, Vertrauensmaterial verändert wurde oder Konfigurationsänderungen nicht nachvollziehbar sind.
Stellen Sie nur Backups wieder her, die nachweislich vor dem vermuteten Kompromittierungszeitraum erstellt wurden. Installieren Sie den korrigierten Release, bevor der Knoten wieder verbunden wird. Rotieren Sie außerdem möglicherweise auf dem betroffenen Knoten gespeicherte oder von ihm erreichbare Zugangsdaten und Geheimnisse. Dazu können ISE-Administratorkonten, API- und Repository-Zugangsdaten sowie potenziell offengelegte Zertifikate oder Schlüssel gehören.
Vergleich mit CVE-2026-76461
CVE-2026-76460 war die zweite von Cisco in jener Woche offengelegte, aktiv ausgenutzte Zero-Day-Lücke. Die andere, CVE-2026-76461, ist eine SQL-Injection-Schwachstelle mit CVSS 9,8 in der E-Mail-Verarbeitung von Cisco AsyncOS für Cisco Secure Email Gateway. Ein nicht authentifizierter Angreifer kann eine präparierte E-Mail mit bösartigen SQL-Anweisungen durch ein verwundbares Gateway senden und dadurch möglicherweise Root-Befehlsausführung erreichen. 33
44
Die Angriffspfade unterscheiden sich:
- CVE-2026-76460: Eine präparierte Anfrage an einen ISE- oder ISE-PIC-API-Endpunkt umgeht die Authentifizierung.
1
40
- CVE-2026-76461: Bösartige E-Mail-Inhalte erreichen die verwundbare E-Mail-Verarbeitungslogik in Cisco Secure Email Gateway.
33
Beide Lücken sind besonders dringlich: Sie werden Berichten zufolge aktiv ausgenutzt, sind aus der Ferne erreichbar und können ohne vorherige Authentifizierung Root-Kontrolle ermöglichen. 15
33
44
Die vorliegenden Belege bestätigen Cisco Secure Email Gateway direkt als betroffenes Produkt bei CVE-2026-76461. Manche Berichte nennen Cisco Secure Email and Web Manager in weiter gefassten Cisco-Hinweisen zu E-Mail-Produkten. Die Patchplanung sollte sich jedoch für jedes eingesetzte Produkt auf Ciscos produktspezifische Advisories und Release-Hinweise stützen. 33
41
Was weiterhin nicht bekannt ist
Aktive Ausnutzung und die technische Schwere sind bestätigt, wichtige operative Details bleiben jedoch öffentlich unbekannt. Ciscos öffentliche Angaben und zeitgenössische Berichte belegen nicht, wer hinter den Angriffen steht, wie viele Organisationen betroffen waren, wann die Ausnutzung begann, welche Werkzeuge eingesetzt wurden oder was Angreifer nach dem Zugriff taten. 1
15
Meldungen über Scans nach der Veröffentlichung sind ein zusätzlicher Grund, die Behebung zu beschleunigen. Die vorliegenden Belege erlauben jedoch keine belastbare Schätzung des Scan-Volumens und keine Zuordnung zu einem bestimmten Akteur. Die belastbare Schlussfolgerung ist einfacher: Eine aktiv ausgenutzte Authentifizierungsumgehung mit maximaler Schwere in einer Identitätsinfrastruktur, für die es keinen Workaround gibt, muss sofort gepatcht und bei plausibler Exponierung oder verdächtigen Aktivitäten untersucht werden. 1
3
48
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Cisco ISE: CVE-2026-76460 ermöglicht Root-Zugriff ohne Anmeldung“?
CVE 2026 76460 ist eine aktiv ausgenutzte Schwachstelle mit CVSS 10,0 in Cisco ISE und ISE PIC: Eine präparierte API Anfrage kann die Anmeldung umgehen und Root Befehlsausführung ermöglichen – ohne Zugangsdaten oder N...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
CVE 2026 76460 ist eine aktiv ausgenutzte Schwachstelle mit CVSS 10,0 in Cisco ISE und ISE PIC: Eine präparierte API Anfrage kann die Anmeldung umgehen und Root Befehlsausführung ermöglichen – ohne Zugangsdaten oder N... CISA nahm die Lücke am 16. September 2026 in den Katalog Known Exploited Vulnerabilities auf und setzte für zivile US Bundesbehörden eine Frist bis zum 19.
Was soll ich als nächstes in der Praxis tun?
Betroffene oder verdächtige ISE Knoten sollten als Incident Response Fälle behandelt werden: Beweise sichern, Zugriffe und Konfigurationsänderungen prüfen und kompromittierte Systeme neu aufsetzen.