Ciscos Identity Engine hat neun neue Schwachstellen, und eine erreicht die perfekte 10

Cisco hat am 16. September 2026 eine Reihe von Sicherheitshinweisen veröffentlicht, die neun Schwachstellen in der Identity Services Engine (ISE) beschreiben, jener Plattform, mit der Unternehmen entscheiden, welche Geräte und Nutzer Zugang zu ihren Netzen erhalten. Eine Lücke sticht heraus. Sie läuft unter CVE-2026-76460, erlaubt einem nicht authentifizierten Angreifer, die Web-Verwaltungsoberfläche einer betroffenen Appliance über das Netz zu umgehen, und Ciscos Product Security Incident Response Team erklärt, es sei sich einer aktiven Ausnutzung bewusst. Der CVSS-Wert liegt bei 10,0, dem Maximum. CISA nahm die Lücke am selben Tag in seinen Katalog bekannter ausgenutzter Schwachstellen auf und gab Bundesbehörden bis zum 19. September Zeit, sie zu beheben.

Zum Weiterlesen: Ciscos E-Mail-Gateway-Zero-Day verschafft Angreifern Root mit einer einzigen Nachricht · Von KI entdeckter Authentifizierungs-Bypass in Rejetto HFS zieht Ausnutzungsversuche nach sich.

Die kurze Frist ist das eigentliche Signal. Nach der Bindenden Operativen Weisung 26-04 setzt CISA üblicherweise ein Behebungsdatum Wochen in der Zukunft an, und ein Fenster von drei Tagen zeigt, dass die Gefahr im Hier und Jetzt liegt und der Patch bereit zur Ausbringung ist. Für jede Organisation, die ISE betreibt und ins Internet exponiert, bleibt da wenig Spielraum.

Was Cisco ISE tut

ISE ist kein Nischenprodukt. Es ist die Richtlinien-Engine hinter der 802.1X-Authentifizierung, der Geräteklassifizierung und der Zustandsbewertung für kabelgebundenen, drahtlosen und VPN-Zugang. Wenn ein Laptop, ein Telefon oder ein Ausweisleser versucht, das Unternehmensnetz zu erreichen, ist ISE oft das System, das die Anmeldedaten prüft, das Gerät bewertet und ein Ja oder Nein zurückgibt. Es ist der technische Ausdruck der Zero-Trust-Idee: Gehe davon aus, dass niemand vertrauenswürdig ist, bis Identität und Gerätezustand überprüft wurden.

Diese Rolle ist der Grund, warum ein Fehler hier mehr wiegt als ein Fehler in einem Randwerkzeug. Ein Angreifer, der die Authentifizierung von ISE umgehen oder Befehle auf der Appliance ausführen kann, kompromittiert nicht bloß einen Server. Er erreicht die Steuerungsebene, die überhaupt entscheidet, wer Zugang zum Netz erhält. Wenn das System, das Identität prüft, selbst umgehbar ist, verliert das darauf aufgebaute Sicherheitsmodell seinen Boden.

Die neun Schwachstellen

Die Offenlegungen vom 16. September verteilen sich auf mehr als einen Hinweis und reichen von einer beinahe perfekten Authentifizierungsumgehung bis zu Befehlsinjektionsfehlern, die zuerst Anmeldedaten verlangen.

• CVE-2026-76460 (CVSS 10,0): eine nicht authentifizierte Umgehung der Authentifizierung der REST-API. Cisco führt sie auf unzureichende Authentifizierungskontrolle an einem API-Endpunkt zurück, und eine manipulierte Anfrage genügt, um die Verwaltungsoberfläche zu erreichen. Sie ist die aktiv ausgenutzte Lücke.
• CVE-2026-76423 (CVSS 10,0): eine zweite nicht authentifizierte Umgehung der REST-API-Authentifizierung, offengelegt in einem separaten Hinweis, der sechs weitere Probleme abdeckt.
• CVE-2026-76424: eine Schwachstelle mit willkürlichem Dateizugriff, die zu Remote-Code-Ausführung führen kann.
• CVE-2026-76446: eine XML-External-Entity-Schwachstelle, mit der ein authentifizierter Angreifer bestimmte Dateien im zugrunde liegenden Betriebssystem lesen kann.
• CVE-2026-20305 und CVE-2026-20306 (CVSS 9,1): Befehlsinjektion in Diagnosewerkzeugen und der REST-API. Beide verlangen eine Authentifizierung, erlauben aber eine Eskalation zu Root.
• CVE-2026-20307 (CVSS 9,9): eine Schwachstelle für Remote-Code-Ausführung, die gültige privilegierte Anmeldedaten erfordert.
• CVE-2026-20176: eine authentifizierte Schwachstelle zur Befehlsausführung, die zu Root eskaliert. Bei einer Einzelknoten-Bereitstellung kann eine Ausnutzung den Knoten offline nehmen, was Endpunkte, die sich noch nicht authentifiziert haben, vom Netz abschneiden würde.
• CVE-2026-20211: ein Problem der Remote-Code-Ausführung, das zusammen mit den anderen behoben wurde.

Die Befehlsinjektionslücken wurden laut Forkast von Forschern bei STAR Labs SG gemeldet. Es ist das zweite Mal in diesem Jahr, dass die Gruppe einen Befehlsinjektionsfehler auf Root-Ebene in derselben Plattform findet. Ciscos Hinweise stellen fest, dass keine Umgehungslösungen die Schwachstellen zur Remote-Code-Ausführung in dieser Gruppe abdecken und Kunden stattdessen ein Upgrade durchführen sollten.

Ausgenutzt, bevor sie behoben war

CVE-2026-76460 kam über einen Supportfall des Cisco Technical Assistance Center ans Licht, was bedeutet, dass mindestens eine Kundenumgebung bereits kompromittiert war, bevor die Lücke vollständig verstanden und gepatcht wurde. Diese Entstehungsgeschichte ist vertraut. Edge- und Infrastruktur-Appliances erzeugen wenig von der Endpunkt-Telemetrie, auf deren Beobachtung Sicherheitsoperationszentren ausgelegt sind, sodass ihre Kompromittierung meist erst auffällt, wenn etwas nachgelagert ausfällt oder ein Kunde den Hersteller wegen seltsamen Verhaltens anruft. Zu diesem Zeitpunkt hatte ein Eindringling, der Persistenz wollte, in der Regel Zeit, sie einzurichten.

Ciscos Hinweis bestätigt die Ausnutzung in freier Wildbahn, nennt aber keinen Akteur, schreibt die Aktivität niemandem zu und beschreibt ihr Ausmaß nicht. Die Scope-Change-Bewertung im CVSS-Vektor bedeutet, dass eine erfolgreiche Ausnutzung Ressourcen über die verwundbare Komponente hinaus betreffen kann, sodass ein kompromittierter ISE-Knoten als mögliches Sprungbrett und nicht als isolierter Vorfall behandelt werden sollte.

Warum Identitätsinfrastruktur immer wieder getroffen wird

Die ISE-Offenlegung passt in ein Muster, das sich durch das Jahr 2026 zieht. Delineas Secret Server, Ciscos eigenes E-Mail-Gateway, Check Point, MikroTik und ConnectWise hatten alle mit Edge- oder Infrastrukturschwachstellen zu tun, die in freier Wildbahn ausgenutzt wurden, und mehrere davon landeten im CISA-Katalog. Der gemeinsame Nenner ist die Position. Diese Systeme stehen außerhalb des Identitätsperimeters, dessen Durchsetzung sie unterstützen, sodass Multi-Faktor-Authentifizierung und Endpunktkontrollen die anfängliche Ausnutzung nicht stoppen. Sie laufen durchgehend, sie sprechen mit dem Internet, wenn sie es nicht sollten, und sie werden selten neu aufgebaut.

Identitäts- und Zugriffsplattformen sind eine besonders attraktive Variante dieses Ziels, denn ihre Kompromittierung erfordert nicht, die Authentifizierung zu besiegen. Sie erfordert, die Antwort umzuschreiben. Ein Netzwerkzugangskontrollsystem, das unterwandert wurde, kann das Gerät eines Angreifers zulassen, als wäre es verwaltet und richtlinienkonform. In diesem Szenario sieht die herkömmliche Überwachung möglicherweise normalen Verkehr auf einem vertrauenswürdigen Segment, denn aus Sicht des Netzes stimmt alles.

Es gibt auch eine Lieferketten-Dimension. Diese Plattformen sind von Natur aus vertrauenswürdig, was bedeutet, dass ihre APIs, ihr Umgang mit externen Entitäten und ihre Diagnosewerkzeuge im Wirkungskreis der Organisationen liegen, die sie einsetzen. Jede Komfortfunktion, von einer REST-Schnittstelle, gegen die Administratoren automatisieren, bis zu einer Diagnoseseite, die Befehle ausführt, ist eine kleine Erweiterung der Angriffsfläche, die Verteidiger erben.

Patchen und die ISE-PIC-Komplikation

Cisco hat korrigierte Versionen über die unterstützten Zweige hinweg veröffentlicht: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4, wobei einige Korrekturen in 3.5 Patch 3 eintrafen. Die stehende Empfehlung zum Hinweis für Remote-Code-Ausführung lautet, ein Upgrade durchzuführen statt abzumildern, weil keine Umgehungslösung existiert.

Altbestände brauchen eine andere Art von Aufmerksamkeit. ISE-PIC, die Reihe des Passive Identity Connector, endet mit Version 3.4, die Cisco als End-of-Sale gekennzeichnet hat. Organisationen, die sie noch betreiben, sind diesen Schwachstellen ohne die Option eines direkten Upgrades ausgesetzt und müssen eine Migration planen. Solche Lücken sind meist dort, wo die langlebigste Exposition sitzt, weil die Systeme alt genug sind, dass sich niemand um sie kümmert, und wichtig genug, dass niemand sie abschalten will.

Was Verteidiger tun sollten

1. Erfassen Sie jede ISE-Instanz, einschließlich Labor-, Staging- und vergessener Cluster, und stellen Sie fest, welche aus dem Internet erreichbar sind.
2. Patchen Sie auf eine korrigierte Version Ihres Zweigs. Wo das in kurzer Zeit unmöglich ist, beschränken Sie den Zugriff mit Firewall-Regeln oder einer ACL und behandeln Sie die Appliance als überwachtes Asset.
3. Suchen Sie nach Belegen für eine Ausnutzung, nicht nur nach Exposition. Prüfen Sie API- und Web-Protokolle auf ungewöhnliche Anfragen vor dem Patch, suchen Sie nach neuen lokalen Konten oder geplanten Aufgaben und prüfen Sie ausgehende Verbindungen.
4. Rotieren Sie alles, was die Appliance erreichen kann. Wenn ISE Anmeldedaten oder Vertrauen hält, das andere Systeme nutzen, gehen Sie davon aus, dass diese Beziehungen im Wirkungskreis lagen.
5. Behandeln Sie einen positiven Fund als Sicherheitsvorfall. Root- oder Administrativzugang zur Identitätsplattform kann die Maschine überdauern, auf der er erlangt wurde.

Vorbehalte und was zu beobachten ist

• Die Zuordnung ist offen. Die Hinweise nennen keinen Akteur und beschreiben nicht, wie weit verbreitet CVE-2026-76460 genutzt wurde.
• Das KEV-Datum ist eine Untergrenze, keine Obergrenze. Der 19. September gilt für Bundesbehörden. Private Organisationen sind derselben Exposition ausgesetzt, ohne Meldepflicht.
• Scanning folgt meist dem Katalog. Sobald eine Lücke in die KEV-Liste aufgenommen wird, setzen in der Regel binnen Tagen massenhafte Suchanfragen nach exponierten Instanzen ein. Die öffentliche Erreichbarkeit zu verringern lohnt sich unabhängig vom Patch-Zeitplan.
• Die Befehlsinjektionsfehler sind nicht die Schlagzeile, aber sie zählen. Sie verlangen Anmeldedaten, enden aber bei Root, was ein kurzer Weg von administrativem Zugang zu vollständiger Kontrolle ist.

Die nützliche Lehre ist nicht, dass Cisco eine schlechte Woche hatte. Sie lautet, dass die Systeme, denen man anvertraut zu entscheiden, wer zu einem Netz gehört, zu den wertvollsten Assets einer Organisation zählen und oft am wenigsten beobachtet werden. Die Teams, die solche Vorfälle unbeschadet überstehen, sind meist jene, die bereits wussten, was sie hatten, und es patchen konnten, bevor ein Scanner auftauchte.

Titelbild: Cisco Systems Headquarters (Building 10), San Jose, von Travis Wise (CC BY 2.0) über Wikimedia Commons.