Ein Auth-Bypass maximaler Schwere trifft die Identitätsautorität selbst — Cisco ISE CVE-2026-76460 und das wiederkehrende Muster der Root-Kompromittierung von Boundary-Appliances
Der Authentication-Bypass CVE-2026-76460 (CVSS 10.0) in Cisco ISE / ISE-PIC wird aktiv ausgenutzt. CISA hat ihn am 16. September in den KEV-Katalog aufgenommen, mit einer bundesbehördlichen Frist zur Behebung am 19. September; es gibt keinen Workaround, und iACLs sind nur eine Mitigation. Wir untersuchen das Muster der Root-Kompromittierung von Boundary-Appliances — parallel zum Zero-Day des Secure Email Gateway (CVE-2026-76461), offengelegt am 14. September — und was es bedeutet, wenn die eigenen Logs einer kompromittierten Appliance aufhören, eine primäre Quelle zu sein.
Dieser Artikel wurde maschinell übersetzt.
Am 16. September 2026 hat Cisco CVE-2026-76460 offengelegt, eine Schwachstelle zur Umgehung der Authentifizierung in Cisco Identity Services Engine (ISE) und dem ISE Passive Identity Connector, mit dem maximalen CVSS 3.1-Score von 10.0. Die Ursache ist unzureichende Kontrolle der Authentifizierung an einem API-Endpunkt: Ein unauthentifizierter entfernter Angreifer, der eine präparierte Anfrage sendet, kann die Authentifizierung der Web-Management-Oberfläche umgehen und unbefugten Zugriff auf das Gerät erlangen. Cisco sagt, es sei 'aware of active exploitation', hat aber nicht veröffentlicht, wer dahintersteht oder was Eindringlinge anschließend getan haben. Alle Releases von 3.1 bis 3.5 sind unabhängig von der Konfiguration betroffen; Fixes erscheinen als 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4. Version 3.0, bereits nach dem End of Software Maintenance, hat keinen Patch-Pfad — Migration ist der einzige Weg (Cisco-Advisory cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco stellt unmissverständlich fest, dass 'there are no workarounds that address this vulnerability,' und bietet Infrastructure ACLs (iACLs) als vorübergehende Mitigation an, um Verkehr der Management- und der Control Plane auf die erforderlichen Quellen zu beschränken — eine Unterscheidung, die zählt, denn iACLs verringern die Exposition, ohne den verwundbaren Endpunkt zu beheben. Zur Erkennung warnt Cisco, dass erfolgreiche Ausnutzung Befehlsausführung auf Root-Ebene ergeben kann, was bedeutet, dass Belege und IoCs vom Angreifer entfernt oder verborgen werden können. Es empfiehlt, access.log auf jedem Knoten einer verteilten Bereitstellung zu prüfen — `show logging application ise-kong/access.log | include dummyuser`, um unerwartete Benutzernamen sichtbar zu machen — und Knoten neu aufzusetzen sowie aus dem Konfigurationsbackup wiederherzustellen, wenn bösartige Einträge erscheinen. CISA hat die CVE am 16. September in seinen KEV-Katalog aufgenommen und eine Frist zur Behebung am 19. September für Bundesbehörden gesetzt (laut The Hacker News und CISA).
Analyse (von den Fakten getrennt): Dies ist der zweite Vorfall 'öffentliche Management-Ebene zu Root', den Cisco in dieser Woche parallel geführt hat. Wo der Zero-Day des Secure Email Gateway CVE-2026-76461 (offengelegt am 14. September) Root über SQL Injection im Parsing-Code erreicht, kommt CVE-2026-76460 über eine Management-API mit umgangener Authentifizierung an — andere Türen, dasselbe Ziel: vollständige Kompromittierung einer Boundary-Appliance. ISE sitzt im Zentrum der Entscheidungen über den Netzwerkzugang im Unternehmen und bündelt Daten zu Identität, Policy und Zugriffskontrolle; wenn es auf Root fällt, wird die gesamte Vertrauenskette dahinter mit erfasst. Nach der Zählung von The CyberSec Guru umfasst der September-Batch von Cisco 77 CVEs (41 betreffen ISE, 28 Secure Firewall), einschließlich eines gesonderten Auth-Bypass der REST-API von ISE mit CVSS 10.0, CVE-2026-76423. Ein Batch, der Einträge 'aktiv ausgenutzt' und 'kein Beleg für Ausnutzung' mischt, ist selbst ein Triage-Problem.
Abwehrseitige Folgerungen: (1) Wenn Sie ISE/ISE-PIC betreiben, ist das Anwenden des passenden Patches die Änderung mit der höchsten Priorität in dieser Woche; verbleibende Installationen von 3.0 sind gesonderte technische Schuld ohne Fix-Pfad. (2) Die Beschränkung der Management-Ebene durch iACL ist sofort lohnend, aber zeichnen Sie sie als Mitigation auf, nicht als Behebung. (3) Lassen Sie die Erkennung nicht allein von den eigenen Logs der Appliance abhängen — paaren Sie die Prüfung auf `dummyuser` mit der externen Historie von Firewall und NetFlow für Verkehr zu und von ISE. (4) Wenn Root-Kompromittierung im Raum steht, wird die Prüfung der Integrität von Konfiguration und Policy der Appliance gegen Backups zu einem verpflichtenden Schritt der Wiederherstellung. Die Fakten hier stützen sich auf das Advisory von Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5), den KEV-Katalog von CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), The Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html) und The CyberSec Guru für die Zahlen im Maßstab des Batches (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). Die Analyse wird von der Berichterstattung getrennt gehalten.