Eine zehn von zehn möglichen Punkten auf der CVSS-Skala — schlechter geht Sicherheitsbewertung nicht. Genau die hat Cisco jetzt für sein Netzwerkzugangs-Werkzeug Identity Services Engine (ISE) vergeben müssen. Und die US-Behörde CISA wusste von aktiven Angriffen, bevor Cisco überhaupt selbst gewarnt hat.
WAS GENAU KAPUTT IST
Die Lücke CVE-2026-76460 steckt in einer API von Cisco ISE und der Passive-Identity-Variante ISE-PIC. Der Fehler: Eine Schnittstelle prüft die Authentifizierung nicht ausreichend. Wer eine passend präparierte Anfrage schickt, umgeht die Anmeldemaske der Web-Verwaltung komplett — ganz ohne Benutzername, Passwort oder sonstige Anmeldedaten. Betroffen sind die Versionen 3.0 bis 3.5, und zwar unabhängig davon, wie das System konfiguriert ist.
SCHLIMMER GEHT’S NICHT: Root-Rechte und verwischte Spuren
Wer die Lücke ausnutzt, landet nicht irgendwo im System, sondern kann Befehle mit Root-Rechten ausführen — der höchsten Berechtigungsstufe überhaupt. Damit lässt sich nicht nur die Kontrolle übernehmen. Ein Angreifer kann auch Spuren seines Einbruchs gezielt löschen oder verstecken. Für die forensische Aufklärung nach einem Vorfall ist das ein Albtraum: Ohne verlässliche Protokolle weiß niemand mehr sicher, was wirklich passiert ist.
CISA WAR SCHNELLER ALS CISCO SELBST
Ungewöhnlich an diesem Fall ist die Reihenfolge: Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 16. September in ihren Katalog aktiv ausgenutzter Schwachstellen auf — einen Tag bevor Cisco selbst am 17. September seinen offiziellen Sicherheitshinweis veröffentlichte. Das zeigt: Die Angriffe liefen schon, während der Patch gerade erst verteilt wurde. US-Bundesbehörden mussten binnen drei Tagen reagieren — eine der kürzesten Fristen, die CISA in diesem Jahr gesetzt hat.
WER BETROFFEN IST
Cisco ISE ist das zentrale Werkzeug für Network Access Control (NAC) in vielen Unternehmen: Es entscheidet, welches Gerät sich per 802.1X, RADIUS oder VPN überhaupt mit dem Netzwerk verbinden darf. Wer ISE im Einsatz hat, betreibt es fast immer als zentrale Schaltstelle für die gesamte Netzwerkzugangskontrolle. Genau das macht die Lücke so brisant: Ein kompromittierter ISE-Server öffnet im schlimmsten Fall Tür und Tor zum kompletten Firmennetz. Für Homelab-Nutzer ist ISE eher unüblich — es ist ein Enterprise-Werkzeug —, wer es aber im Rahmen einer Zertifizierung oder in einer Testumgebung betreibt, sollte genauso patchen.
SO SCHÜTZT DU DICH JETZT
- Sofort aktualisieren: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 oder 3.5 Patch 4 — je nach eingesetzter Version.
- Workaround gibt es keinen — laut Cisco schließt ausschließlich das Update die Lücke wirklich.
- Übergangsweise: Zugriff auf die Management-Schnittstelle per Infrastructure Access Control List (iACL) auf die wirklich nötigen Quellen beschränken.
- Nach dem Patch: Protokolle auf ungewöhnliche Admin-Konten, veränderte Regeln oder unbekannte Zugriffe prüfen — ein Angreifer kann schon drin gewesen sein, bevor du aktualisiert hast.
FAZIT: Zehn von zehn ist kein Zufall
Eine Zehn auf der CVSS-Skala bedeutet: Fernzugriff, keine Anmeldung nötig, keine Nutzerinteraktion, volle Auswirkung. Dass ausgerechnet das Werkzeug für Netzwerkzugangskontrolle selbst zur offenen Tür wird, ist bitter — und die Tatsache, dass CISA vor Cisco warnte, zeigt, wie knapp die Zeit für Admins diesmal war. Wer ISE betreibt, sollte nicht auf das nächste Wartungsfenster warten.
Häufige Fragen
Was macht CVE-2026-76460 so gefährlich?
Welche Versionen sind betroffen und wie patche ich?
Gab es schon echte Angriffe?
Kann ich mich übergangsweise schützen, wenn ich nicht sofort patchen kann?
Quellen
- The Hacker News — Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks
- Help Net Security — Unauthenticated attackers are bypassing Cisco ISE’s management interface (CVE-2026-76460)
- The Register — Cisco drops another exploited zero-day, this time a perfect 10
- BleepingComputer — Cisco warns of Identity Service Engine zero-day exploited in attacks