Cisco hat dringende Sicherheitsupdates für eine Schwachstelle mit maximalem Schweregrad in der Identity Services Engine veröffentlicht. Angreifer nutzen die Cisco ISE-Zero-Day-Schwachstelle bereits aus, während es keinen Workaround zum Schutz verwundbarer Systeme gibt.
Authentifizierungsfehler gefährdet Cisco ISE-Systeme
Cisco führt die Schwachstelle unter der Kennung CVE-2026-76460. Sie betrifft die Cisco Identity Services Engine und den ISE Passive Identity Connector, unabhängig von deren Konfiguration.
ISE bietet eine zentrale Plattform zur Verwaltung von Nutzern, Endgeräten und dem Zugriff auf Netzwerkressourcen. Organisationen nutzen sie häufig, um Zero-Trust-Sicherheitsrichtlinien durchzusetzen.
Die Schwachstelle entsteht durch unzureichende Authentifizierungskontrollen in einem API-Endpunkt. Ein entfernter Angreifer kann die Sicherheitslücke ausnutzen, indem er eine speziell präparierte Anfrage an ein verwundbares System sendet.
Ein erfolgreicher Angriff umgeht die webbasierte Verwaltungsoberfläche und ermöglicht unbefugten Zugriff auf das Gerät. Darüber hinaus können Angreifer schließlich Befehle mit Root-Rechten ausführen.
Cisco stufte die Schwachstelle mit dem höchstmöglichen Schweregrad ein. Das Product Security Incident Response Team des Unternehmens bestätigte außerdem, dass Angreifer sie bei realen Angriffen ausnutzen.
Cisco fordert Kunden zur Installation von Updates auf
Cisco hat keine Workarounds für CVE-2026-76460 bereitgestellt. Daher müssen Administratoren auf eine korrigierte Softwareversion aktualisieren, um betroffene Systeme abzusichern.
Das erforderliche Update hängt von der installierten Version ab:
| Cisco ISE- oder ISE-PIC-Version | Erste korrigierte Version |
|---|---|
| 3.1 | 3.1 Patch 12 |
| 3.2 | 3.2 Patch 11 |
| 3.3 | 3.3 Patch 12 |
| 3.4 | 3.4 Patch 7 |
| 3.5 | 3.5 Patch 4 |
Cisco empfiehlt dringend, den entsprechenden Patch so schnell wie möglich zu installieren. Eine Verzögerung des Updates setzt betroffene Netzwerke weiterhin laufenden Angriffen aus.
Administratoren sollten nach Eindringlingen suchen
Cisco veröffentlichte außerdem Indicators of Compromise, um Organisationen bei der Erkennung möglicher Sicherheitsverletzungen zu unterstützen. Sicherheitsteams sollten die access.log-Dateien auf jedem Knoten auf verdächtige Benutzernamen überprüfen.
Darüber hinaus sollten Administratoren Firewall- und Netzwerkprotokolle auf ungewöhnliche externe Verbindungen untersuchen. Besondere Aufmerksamkeit sollten sie verdächtigen Uploads und Downloads widmen, an denen unbekannte oder bösartige IP-Adressen beteiligt sind.
Angreifer können Beweise löschen, nachdem sie Root-Zugriff erlangt haben. Daher bedeutet das Fehlen offensichtlicher Anzeichen nicht zwangsläufig, dass ein System weiterhin sicher ist.
Wenn Administratoren bösartige Aktivitäten vermuten, empfiehlt Cisco dringend, die betroffenen Knoten neu aufzusetzen. Anschließend sollten die Teams sie aus vertrauenswürdigen Backups wiederherstellen.
CISA gibt Bundesbehörden drei Tage für die Installation des Patches
Die US-amerikanische Cybersecurity and Infrastructure Security Agency nahm CVE-2026-76460 am Mittwoch in ihren Known Exploited Vulnerabilities-Katalog auf.
Infolgedessen müssen zivile US-Bundesbehörden betroffene Systeme innerhalb von drei Tagen patchen. Die ungewöhnlich kurze Frist spiegelt den Schweregrad der Schwachstelle und ihre bestätigte Ausnutzung wider.
Cisco behob außerdem eine weitere Authentifizierungs-Bypass-Schwachstelle mit maximalem Schweregrad, CVE-2026-76423. Zusätzlich patchte das Unternehmen mehrere weitere kritische Sicherheitsprobleme, die ISE und ISE-PIC betreffen.
Cisco hat jedoch keine aktive Ausnutzung dieser zusätzlichen Schwachstellen gemeldet.
Frühere ISE-Zero-Day-Schwachstelle ermöglichte Webshell-Angriffe
Dieser Vorfall folgt auf die Ausnutzung einer weiteren Cisco ISE-Schwachstelle mit maximalem Schweregrad im Juli 2025.
Angreifer nutzten CVE-2025-20337, um Angriffe zur Remote-Code-Ausführung durchzuführen. Sie installierten außerdem eine speziell entwickelte Webshell namens IdentityAuditAction, die sie als legitime ISE-Komponente tarnten.
Cisco-Produkte bleiben häufige Ziele von Cyberangriffen. In den vergangenen fünf Jahren stufte CISA 99 Cisco-Schwachstellen als aktiv ausgenutzt ein. Angreifer nutzten außerdem sieben dieser Sicherheitslücken bei Ransomware-Kampagnen.
Die jüngste Cisco ISE-Zero-Day-Schwachstelle unterstreicht die Notwendigkeit schneller Patches und sorgfältiger Protokollanalysen. Organisationen, die eine Kompromittierung nicht ausschließen können, sollten betroffene Knoten aus vertrauenswürdigen Backups neu aufsetzen.
0 Kommentare zu „Cisco ISE-Zero-Day-Schwachstelle wird bei aktiven Angriffen ausgenutzt“