Cisco-ISE-Auth-Bypass-Lücke ist jetzt auf der CISA-KEV-Liste überfällig

Eine Schwachstelle mit maximalem Schweregrad in Cisco Identity Services Engine hat inzwischen die Frist der US-Bundesbehörden zur Behebung verpasst. CVE-2026-76460, ein nicht authentifizierter Authentifizierungs-Bypass, der eine ISE- und ISE-PIC-API betrifft, hat einen CVSS-Wert von 10,0. Cisco hat die Lücke am 16. September 2026 veröffentlicht und die aktive Ausnutzung bestätigt; die US-Cybersicherheitsbehörde CISA hat sie noch am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und den zivilen Bundesbehörden bis zum 19. September Zeit zur Behebung gegeben – eine der kürzesten Fristen, die die CISA in diesem Jahr gesetzt hat. Dieses Datum ist inzwischen verstrichen.

Was die Schwachstelle ermöglicht

Laut Cisco beruht der Fehler auf einer unzureichenden Authentifizierungskontrolle an einem API-Endpunkt: Eine speziell gestaltete Anfrage umgeht die Anmeldung vollständig, unabhängig von der Konfiguration. Von dort aus kann ein Angreifer auf privilegierte Funktionen zugreifen und letztlich Befehle mit Root-Rechten ausführen, wodurch Identitäts- und Konfigurationsdaten offengelegt oder verändert werden können, die ISE für Netzwerkzugriffskontrolle, VPN-Posture-Checks und Gast-Onboarding vorhält. Cisco entdeckte das Problem bei der Bearbeitung eines Support-Falls und hat erklärt, dass es keinen Workaround gibt – die einzige Behebung ist der Patch des Herstellers.

Patchen und Absichern

Ciscos korrigierte Versionen sind 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4. ISE 3.0 hat das Ende des Softwaresupports erreicht und erhält keinen Fix; solche Installationen müssen auf einen unterstützten Versionszweig migrieren. Bis alle Knoten gepatcht sind, empfiehlt Cisco, die Angriffsfläche der Management-Ebene mithilfe von Infrastructure Access Control Lists als teilweise, vorübergehende Risikominderung einzuschränken – das ist kein Ersatz für das Patchen.

Auf frühere Kompromittierung prüfen

Da ein erfolgreicher Exploit Root-Zugriff gewähren kann, kann ein Angreifer möglicherweise lokale Spuren entfernen oder verändern. Cisco empfiehlt, auf jedem Knoten die Datei ise-kong/access.log auf verdächtige Benutzernamen zu prüfen und die Ergebnisse mit externen Firewall-Logs und NetFlow-Daten abzugleichen, statt sich ausschließlich auf die Aufzeichnungen der Appliance selbst zu verlassen. Besteht der Verdacht einer Kompromittierung, ist der sicherere Weg, den Knoten neu aufzusetzen und die Konfiguration aus einem nachweislich sauberen Backup wiederherzustellen.

Diese CVE ist von den separaten Schwachstellen zu unterscheiden, die in derselben Woche in Cisco FMC und Secure Email Gateway veröffentlicht wurden – jede sollte auf ihrer eigenen Patch-Reihenfolge behandelt werden, statt davon auszugehen, dass ein Fix die anderen abdeckt. Für jede Organisation, die ISE nach Ablauf der verpassten Frist weiter betreibt, ist die Reihenfolge dieselbe: jetzt alle Knoten patchen, den Management-Zugang zwischenzeitlich einschränken und die Log-Prüfung durchführen, bevor der Vorfall als abgeschlossen erklärt wird.

Quellen: Cisco-Sicherheitshinweis, BleepingComputer, SOCRadar.