Cisco ISE Zero-Day mit maximalem Schweregrad aktiv ausgenutzt

Cisco ↗ 2.32% hat am Mittwoch eine Schwachstelle zur Authentifizierungsumgehung mit maximalem Schweregrad in seiner Identity Services Engine offengelegt, die bereits aktiv ausgenutzt wird. Dies hat die US-Cybersicherheitsbehörde CISA dazu veranlasst, Bundesbehörden anzuweisen, die Sicherheitslücke innerhalb von drei Tagen zu schließen.

Eine perfekte 10

Die Schwachstelle, die unter CVE-2026-76460 geführt wird und einen CVSS-Wert von 10.0 aufweist, betrifft Cisco ISE und den ISE Passive Identity Connector (ISE-PIC), eine zentralisierte Plattform, die in Unternehmen weit verbreitet ist, um den Netzwerkzugriff zu verwalten und Sicherheitsrichtlinien durchzusetzen. Die Schwachstelle resultiert aus unzureichenden Authentifizierungskontrollen an einem API-Endpunkt, was es einem nicht authentifizierten Remote-Angreifer ermöglicht, eine manipulierte Anfrage zu senden, die webbasierte Verwaltungsoberfläche zu umgehen und Befehle mit Root-Rechten auszuführen.theregister+2

Für die Ausnutzung sind weder Anmeldedaten noch Benutzerinteraktion oder eine spezifische Gerätekonfiguration erforderlich. Es gibt derzeit keine Umgehungslösung.cybernews+2

"Das Cisco PSIRT ist sich der aktiven Ausnutzung dieser Schwachstelle bewusst. Cisco empfiehlt Kunden dringend, auf eine korrigierte Softwareversion zu aktualisieren, um diese Schwachstelle zu beheben", so Cisco in seinem Sicherheitshinweis.bleepingcomputer+1

Zweiter Zero-Day innerhalb einer Woche

Die Offenlegung markiert den zweiten aktiv ausgenutzten Zero-Day, den Cisco innerhalb weniger Tage bekannt gegeben hat. Anfang der Woche warnte das Unternehmen vor CVE-2026-76461, einer mit 9.8 bewerteten Schwachstelle in seinen Secure Email Gateway- sowie Secure Email and Web Manager-Appliances, die ebenfalls zu Root-Zugriff führen konnte. Die am Mittwoch veröffentlichte Serie von Sicherheitshinweisen umfasste insgesamt 14 kritische Meldungen, darunter zwei weitere Fehler mit einem Wert von 10.0 sowie drei Schwachstellen für die Remote-Code-Ausführung im Cisco Secure Firewall Management Center mit einem Wert von bis zu 9.9.theregister+1

CISA hat CVE-2026-76460 am Mittwoch in seinen Katalog der aktiv ausgenutzten Schwachstellen aufgenommen, zusammen mit einer Schwachstelle in Acronis Backup und einer Schwachstelle im Mobilfunkmodem von Google Pixel, die ebenfalls aktiv ausgenutzt werden.securityaffairs

Patching und Wiederherstellung

Cisco hat Korrekturen in den ISE- und ISE-PIC-Versionen 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4 veröffentlicht. Kunden, die ISE 3.0 verwenden, das das Ende der Softwarewartung erreicht hat, müssen auf eine unterstützte Version migrieren. Cisco rät Administratoren, die ISE-Zugriffsprotokolle auf allen Knoten auf verdächtige Benutzernamen zu überprüfen und Firewall- sowie Netzwerkprotokolle auf unerwartete Uploads oder Downloads zu kontrollieren. Falls Anzeichen einer Kompromittierung gefunden werden, empfiehlt Cisco "dringend", die betroffenen Knoten neu aufzusetzen und aus einem Backup wiederherzustellen.bleepingcomputer+1

Cisco entdeckte die Schwachstelle während der Bearbeitung eines Support-Falls, hat jedoch nicht offengelegt, wer hinter den Angriffen steckt, wie lange die Ausnutzung bereits andauert oder was die Eindringlinge nach dem Erlangen des Zugriffs getan haben. Die ShadowServer Foundation berichtete, dass ihre Honeypots eine erhöhte Scan-Aktivität auf Cisco-Schwachstellen zeigen, wobei Hunderte von IP-Adressen nach älteren Fehlern suchen.theregister+1