Cisco ISE Authentifizierungsumgehung wird ausgenutzt, jetzt patchen

Cisco hat gewarnt, dass die Cisco ISE-Authentifizierungsumgehung aktiv ausgenutzt wird, und die Schwachstelle trägt die höchste Schweregradbewertung, die das Unternehmen verwendet. Sie wird als CVE-2026-76460 geführt, hat einen CVSS-Score von 10,0 (CVSS, das Common Vulnerability Scoring System, ist eine Branchenskala von 0 bis 10, die bewertet, wie schwerwiegend eine Sicherheitslücke ist) und ermöglicht einem nicht authentifizierten, entfernten Angreifer die Umgehung der Authentifizierung. In einfachen Worten: Ein Angreifer, der kein Konto und kein Passwort auf dem Gerät besitzt, kann sich von einem anderen Punkt im Netzwerk aus an der Anmeldung vorbeischleichen. Das betroffene Produkt ist Cisco Identity Services Engine (ISE), eine Plattform, mit der Organisationen entscheiden, welche Personen und welche Geräte Zugang zu ihren Netzwerken erhalten, zusammen mit dem Cisco ISE Passive Identity Connector (ISE-PIC), einer Begleitkomponente, die derselben Plattform hilft, Benutzer zu identifizieren.

Cisco erklärte, das Problem rühre von unzureichender Authentifizierungskontrolle an einem API-Endpunkt her. Eine API ist die Softwareschnittstelle, die es einem Programm ermöglicht, mit einem anderen zu kommunizieren, und hier überprüfte diese Schnittstelle die Identitäten nicht ordnungsgemäß. Laut Cisco kann ein Angreifer die Schwachstelle ausnutzen, indem er eine speziell erstellte Anfrage an einen betroffenen API-Endpunkt sendet, und eine erfolgreiche Ausnutzung kann dem Angreifer unbefugten Zugriff auf das Gerät verschaffen, indem er die webbasierte Verwaltungsschnittstelle umgeht. Cisco gab an, dass das Problem ISE und ISE-PIC unabhängig von der Konfiguration des Geräts betrifft, sodass es keine bestimmte Einstellung gibt, die Kunden schützt. Korrekturen wurden in den folgenden Versionen veröffentlicht: Version 3.1 ist in 3.1 Patch 12 behoben, Version 3.2 in 3.2 Patch 11, Version 3.3 in 3.3 Patch 12, Version 3.4 in 3.4 Patch 7 und Version 3.5 in 3.5 Patch 4. Cisco erklärte, es sei sich der aktiven Ausnutzung bewusst und dränge Kunden, auf eine korrigierte Softwareversion zu aktualisieren, um der Bedrohung zu begegnen. Das Unternehmen teilte keine Details über die Art der Angriffe, die die Schwachstelle ausnutzen, oder über die Urheber mit.

Als Kompromittierungsindikatoren, also Anzeichen dafür, dass ein Eindringen bereits stattgefunden haben könnte, empfiehlt Cisco, die Datei mit dem Namen "access.log" zu überprüfen und nach verdächtigen Benutzernamen zu suchen. Wenn das Gerät Teil einer verteilten Bereitstellung ist, also die Installation über mehrere zusammenarbeitende Maschinen verteilt ist, ist es unerlässlich, die Protokolle jedes Knotens zu überprüfen und nicht nur eines einzigen. Cisco gab den folgenden Befehl an, um unerwartete Benutzernamen zu erkennen: admin#show logging application ise-kong/access.log | include dummyuser. Das Vorhandensein eines Eintrags in der Ausgabe dieses Befehls deutet wahrscheinlich auf bösartige Aktivität hin, so das Unternehmen. Wenn solche Aktivität erkannt wird, wird Benutzern empfohlen, die betroffenen Knoten neu zu installieren, was bedeutet, sie zu löschen und eine saubere Kopie der Software zu installieren, und bei Bedarf aus einem Konfigurations-Backup wiederherzustellen. Cisco warnte auch, dass eine erfolgreiche Ausnutzung Bedrohungsakteuren Befehlsausführung mit Root-Rechten ermöglichen kann, der höchsten Kontrolle über ein System, und dass aufgrund dieser Zugriffsebene die Beweise für die Ausnutzung und die Kompromittierungsindikatoren von den Angreifern entfernt oder verborgen werden können.

Cisco betonte, dass es keine Workarounds für diese Schwachstelle gibt. Als Minderungsmaßnahme, die die Exposition reduziert, ohne die zugrunde liegende Schwachstelle zu beheben, können Kunden Infrastruktur-Zugriffskontrolllisten (iACLs) verwenden, um nur den erforderlichen Management- und Steuerungsebenen-Verkehr zuzulassen, der für das betroffene Gerät bestimmt ist. In der Praxis ist eine iACL ein Filter, der begrenzt, welche Maschinen überhaupt auf ein Netzwerkgerät zugreifen dürfen. Unabhängig davon hat die U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-76460 am 16. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Dieser Katalog listet Schwachstellen auf, die als in realen Angriffen ausgenutzt bestätigt wurden, und die Aufnahme verpflichtet Bundesbehörden der Federal Civilian Executive Branch (FCEB), die Patches bis zum 19. September 2026 anzuwenden.

Die Offenlegung erfolgt nur wenige Tage, nachdem Cisco mitgeteilt hatte, dass eine kritische Schwachstelle in der AsyncOS-Software für Cisco Secure Email Gateway, die als CVE-2026-76461 mit einem CVSS-Score von 9,8 geführt wird, aktiv ausgenutzt wurde. Zusammen mit CVE-2026-76460 hat Cisco Korrekturen für eine Reihe kritischer Sicherheitslücken in seinem Produktsortiment veröffentlicht, von denen einige Härtungsmaßnahmen sind, die im Rahmen einer laufenden Überprüfung veröffentlicht wurden. Von den 77 neuen CVEs, die am Mittwoch herausgegeben wurden, betreffen 41 ISE und 28 das Secure Firewall-Portfolio. Darunter: CVE-2026-20176 (CVSS 9,9), CVE-2026-20211 (CVSS 9,1) und CVE-2026-20307 (CVSS 9,1) sind ISE-Schwachstellen, die es einem authentifizierten entfernten Angreifer mit gültigen administrativen Anmeldeinformationen ermöglichen, beliebige Befehle auf dem Betriebssystem eines Geräts auszuführen. CVE-2026-76423 (CVSS 10,0) sowie CVE-2026-76424, CVE-2026-76425, CVE-2026-76426, CVE-2026-76427 und CVE-2026-76428 decken ISE- und ISE-PIC-Schwächen ab, die eine Authentifizierungsumgehung auf der REST-API, Remote-Code-Ausführung, SQL-Injection und XML External Entity Injection-Angriffe ermöglichen könnten. CVE-2026-20282 (CVSS 9,1), CVE-2026-20283 und CVE-2026-20284 betreffen SQL-Injection, Datenänderung und beliebige Befehlsausführung auf ISE, während CVE-2026-20305 und CVE-2026-20306 (beide CVSS 9,1) Befehlsinjektion und Befehlsausführung als Root-Benutzer für Angreifer mit gültigen administrativen Anmeldeinformationen ermöglichen. Cisco Nexus Dashboard ist von CVE-2026-20322, CVE-2026-20325 (beide CVSS 9,9), CVE-2026-20326 (CVSS 9,8), CVE-2026-20360, CVE-2026-20361 und CVE-2026-76409 betroffen, die zu Befehlsinjektion, Authentifizierungs- oder Autorisierungsumgehung und Informationsoffenlegung führen könnten. Weitere ISE- und ISE-PIC-Schwachstellen sind CVE-2026-20130 und CVE-2026-20192 (beide CVSS 10,0), CVE-2026-20194 (CVSS 9,1), CVE-2026-20234 (CVSS 9,9), CVE-2026-20237 (CVSS 9,9) und CVE-2026-20287, mit ähnlichen Folgen: Befehlsinjektion, Authentifizierungs- oder Autorisierungsumgehung und Informationsoffenlegung.

Auch die Secure Firewall-Reihe erhielt eine große Anzahl von Korrekturen. CVE-2026-20329, CVE-2026-20330 (beide CVSS 9,9), CVE-2026-20331 (CVSS 9,6), CVE-2026-20332 (CVSS 9,0) und CVE-2026-20333 bis CVE-2026-20336 betreffen Cisco Secure Firewall Adaptive Security Appliance (ASA) Software, Cisco Secure Firewall Threat Defense (FTD) Software und Cisco Secure Firewall Management Center (FMC) Software, gruppiert nach Schwachstellenkategorie und abdeckend Bereiche wie unsachgemäße Behandlung von Ausnahmebedingungen, unsachgemäße Zugriffskontrolle, unsachgemäße Einhaltung von Codierungsstandards und unsachgemäße Kontrolle einer Ressource über ihre Lebensdauer. CVE-2026-76412, CVE-2026-76413 und CVE-2026-76420 (CVSS 9,0) könnten einem entfernten Angreifer Root-Zugriff auf FMC Software verschaffen und Sitzungen fälschen oder sich als diese ausgeben. CVE-2026-20324 (CVSS 9,9) betrifft das sftunnel-Gerätekommunikationsprotokoll von FMC Software und könnte einem authentifizierten entfernten Angreifer ermöglichen, beliebige Befehle als Root auszuführen. CVE-2026-20340, CVE-2026-20341 (CVSS 9,1) und CVE-2026-20342 bis CVE-2026-20344 betreffen FMC Software und könnten Root-Zugriff, das Herunterladen sensibler Dateien, SQL-Injection oder einen Denial-of-Service-Zustand ermöglichen. CVE-2026-20242 (CVSS 9,8) betrifft die External Database Access-Funktion von FMC Software und könnte einem nicht authentifizierten entfernten Angreifer ermöglichen, beliebige Befehle als Root auszuführen. Schließlich betreffen CVE-2026-20353 (CVSS 9,8) und CVE-2026-76440, CVE-2026-76441, CVE-2026-76442 und CVE-2026-76443 (alle CVSS 9,8) Cisco Secure Email Gateway und Cisco Secure Email and Web Manager und könnten zu Path Traversal, Authentifizierungs- oder Autorisierungsumgehung, unkontrolliertem Ressourcenverbrauch und Befehlsinjektion führen. Keine dieser letztgenannten Schwachstellen wurde als aktiv ausgenutzt aufgeführt, aber die Quelle der Advisories betont, dass Benutzer die Korrekturen so schnell wie möglich anwenden sollten, angesichts der Kritikalität der Schwächen und der Tatsache, dass sie mehrere Wege zur Ausführung beliebigen Codes bieten.

Für Website-Betreiber, Hosting-Kunden und interne IT-Teams liegt die praktische Lehre bei der Ausrüstung, die still vor allem anderen steht. Identitäts- und Zugangssysteme wie Cisco ISE entscheiden oft darüber, wer auf die Server und Admin-Panels zugreifen darf, die Websites und Geschäftsanwendungen betreiben. Eine Umgehung auf dieser Ebene kann daher alles dahinter gefährden, unabhängig davon, ob diese Ausrüstung vom selben Team verwaltet wird. Da es keinen Workaround für CVE-2026-76460 gibt, ist die einzige wirkliche Lösung der Hersteller-Patch, gefolgt von einer Überprüfung der Protokolle auf die von Cisco beschriebenen verdächtigen Benutzernamen und, bei Verdacht auf Eindringen, einem Neuaufbau der betroffenen Knoten aus einem sauberen Image und einem vertrauenswürdigen Backup. Teams, die Hilfe bei dieser Art von Härtung, Patch-Management und Überprüfung der Zugriffskontrolle wünschen, können sich ansehen, was AEU-I auf seiner Website für sicherheitsorientierte IT, Infrastruktur und Beratung auflistet, und anhand der veröffentlichten Details beurteilen, ob es zu ihrer Situation passt.