Kurzfassung

Cisco hat im September 2026 mehrere zusammenhängende Sicherheitsmeldungen für Cisco Identity Services Engine (ISE) und den Cisco ISE Passive Identity Connector (ISE-PIC) veröffentlicht. Die Schwachstellen reichen von Authentifizierungsumgehung über SQL-Injection und XML External Entity bis hin zu Remote Code Execution und Befehlsinjektion mit Root-Rechten. Für Unternehmen mit ISE im produktiven Netzwerkzugang ist das ein Patch-Thema mit hoher Priorität.

Was ist passiert?

Cisco bündelt mehrere Sicherheitsprobleme in und rund um seine Identity- und Netzwerkzugangslösung ISE. Die Plattform spielt in vielen Unternehmen eine zentrale Rolle bei Netzwerkzugangskontrolle, Geräteprofilierung, Authentifizierung und Richtlinienumsetzung. Entsprechend schwer wiegt jede Lücke, über die Angreifer an Verwaltungsfunktionen, APIs oder das zugrunde liegende Betriebssystem herankommen.

Im aktuellen Veröffentlichungsblock nennt Cisco unter anderem fünf besonders relevante Sammelmeldungen: eine Hardening-Veröffentlichung zu intern gefundenen Schwachstellen unter CVE-2026-20130, Befehlsinjektionen unter CVE-2026-20305, weitere ISE/ISE-PIC-Lücken unter CVE-2026-76423, authentifizierte Angriffe auf API und Betriebssystem unter CVE-2026-20282 sowie weitere Remote-Code-Execution-Probleme unter CVE-2026-20176.

Besonders wichtig: Cisco schreibt zur Hardening-Veröffentlichung, dass mindestens eine der dort zusammengefassten intern gefundenen Schwachstellen bereits aktiv ausgenutzt wird. Welche der einzelnen dort gebündelten Lücken betroffen ist, geht aus den bereitgestellten Informationen an dieser Stelle nicht hervor. Klar ist aber: Es handelt sich nicht nur um theoretische Risiken.

Technische Details

Die gemeldeten Probleme decken mehrere Angriffsklassen ab:

  • CVE-2026-20130: Hardening-Release für mehrere intern entdeckte Schwachstellen in Cisco ISE und Cisco ISE-PIC. Cisco fasst hier mehrere Probleme nach Schwachstellenklasse unter einer Kennung zusammen. Mindestens eine dieser intern gefundenen Lücken wird laut Cisco aktiv angegriffen.
  • CVE-2026-20305: Mehrere Befehlsinjektionen in Cisco ISE und Cisco ISE-PIC. Ein authentifizierter entfernter Angreifer mit gültigen Administrator-Zugangsdaten kann beliebige Befehle einschleusen und als root ausführen.
  • CVE-2026-76423: Mehrere Schwachstellen in Cisco ISE und Cisco ISE-PIC, die laut Cisco unter anderem eine Umgehung der Authentifizierung an der REST-API, Remote Code Execution, SQL-Injection und XML-External-Entity-Angriffe ermöglichen.
  • CVE-2026-20282: Mehrere Schwachstellen in Cisco ISE, über die ein authentifizierter entfernter Angreifer SQL-Injection durchführen, Daten verändern oder beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen kann. Cisco weist darauf hin, dass die praktische Auswirkung höher einzuschätzen ist, weil sich von dem erreichten Rechteniveau aus leicht Root-Rechte erlangen lassen.
  • CVE-2026-20176: Mehrere Schwachstellen in Cisco ISE, die einem authentifizierten entfernten Angreifer mit gültigen Administrator-Zugangsdaten die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem erlauben.

NVD hat noch keinen CVSS-Wert vergeben.

Cisco stuft die betroffenen Meldungen jeweils mit hoher bis kritischer Auswirkung ein; mehrere Advisorys tragen die Herstellerbewertung „Critical“. Für CVE-2026-20282 hebt Cisco ausdrücklich hervor, dass die praktische Gefahr über einer rein formalen Einzelbewertung liegen kann.

Wichtig für den Betrieb: Cisco hat für die genannten Meldungen Software-Updates veröffentlicht. Workarounds gibt es überwiegend nicht. Nur für den Advisory rund um CVE-2026-20282 nennt Cisco, dass es für eine der darin enthaltenen Schwachstellen eine Abhilfemaßnahme gibt.

Wer ist betroffen?

Betroffen sind Cisco Identity Services Engine (ISE) sowie teilweise Cisco ISE Passive Identity Connector (ISE-PIC). Die bereitgestellten Informationen nennen hier keine vollständige, versionsgenaue Matrix im Überblick über alle fünf Meldungen hinweg. Wer ISE oder ISE-PIC betreibt, sollte deshalb die jeweiligen Cisco-Hinweise für die eigene Release-Linie prüfen und die installierte Version gegen die von Cisco bereitgestellten Korrekturen abgleichen.

Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo ISE direkt an zentrale Zugangsentscheidungen gekoppelt ist: in Campus-Netzen, bei 802.1X, Gastzugängen, NAC-Szenarien, Segmentierung, Profiling und API-gestützten Integrationen. Ein erfolgreicher Angriff auf ISE ist nicht bloß ein Serverproblem, sondern kann die Vertrauenskette im Netzwerkzugang treffen.

Für Privatnutzer spielt das praktisch keine Rolle, weil es sich um Enterprise-Infrastruktur handelt.

Empfohlene Maßnahmen

  1. Updates priorisieren und Wartungsfenster vorziehen. Spielen Sie die von Cisco bereitgestellten Korrekturen für ISE und ISE-PIC zeitnah ein. Die offizielle Übersicht mit Patch-Informationen und den verknüpften Sicherheitsmeldungen finden Sie hier: Cisco Security Advisory zum ISE Hardening Release September 2026.
  2. Admin-Zugänge sofort prüfen. Mehrere der Lücken setzen gültige Administrator-Zugangsdaten voraus. Kontrollieren Sie lokale und angebundene Admin-Konten, setzen Sie Passwörter zurück, prüfen Sie Rollen und entfernen Sie nicht mehr benötigte Zugänge.
  3. Management-Zugriff einschränken. Begrenzen Sie den Zugriff auf ISE-Administrationsoberflächen und APIs strikt auf dedizierte Admin-Netze, Jump-Hosts oder VPN-Pfade. Falls noch öffentlich erreichbare Verwaltungszugänge existieren, sollten diese umgehend abgeschottet werden.
  4. API-Nutzung und Logs auswerten. Da Cisco unter anderem Auth-Bypass an der REST-API, SQL-Injection und RCE nennt, sollten Sie API-Logs, Admin-Logins, Konfigurationsänderungen, Prozessstarts und verdächtige Shell-Aktivitäten rückwirkend prüfen.
  5. Hinweise auf Kompromittierung ernst nehmen. Weil Cisco von aktiver Ausnutzung mindestens einer intern entdeckten Schwachstelle spricht, reicht bloßes Patchen unter Umständen nicht aus. Prüfen Sie betroffene Systeme auf unplausible Konten, unerwartete Cronjobs, geänderte Konfigurationen, unbekannte Dateien und ausgehende Verbindungen.
  6. Segmentierung und Wiederherstellung vorbereiten. Falls ein ISE-Knoten auffällig ist, sollten Sie klare Schritte für Isolation, Snapshot-Sicherung, forensische Sicherung und Wiederanlauf parat haben. In vielen Umgebungen hängt der Netzwerkzugang operativ stark an dieser Plattform.

Einschätzung von CyberSecurity-News.de

Der Fall ist für ISE-Betreiber ernst. Nicht jede einzelne Lücke ist ohne Weiteres aus dem Internet ausnutzbar, und bei mehreren Problemen sind Admin-Rechte nötig. Trotzdem ist die Gesamtlage kritisch, weil Cisco hier gleich mehrere Advisorys in einem Funktionsbereich nachschiebt und weil die Produktrolle von ISE im Netzwerk besonders sensibel ist.

Positiv ist, dass Cisco Updates bereitstellt und die Meldungen thematisch sauber aufgliedert. Weniger hilfreich ist, dass die Sammelstruktur mit gruppierten Kennungen den schnellen Risikoabgleich für Admins erschwert. Gerade im operativen Betrieb wäre eine noch kompaktere, versionsgenaue Gesamtübersicht über alle betroffenen ISE- und ISE-PIC-Releases nützlich.

Für die Einordnung ist der Hinweis auf aktive Ausnutzung entscheidend. Auch wenn Cisco diese Aussage im Hardening-Kontext macht und nicht jede einzelne CVE separat als ausgenutzt beschreibt, erhöht das den Handlungsdruck deutlich. Wer ISE betreibt, sollte diese September-Veröffentlichungen nicht in den regulären Patch-Rhythmus schieben, sondern bevorzugt behandeln.

Fazit

Für Unternehmen mit Cisco ISE oder ISE-PIC ist das ein klarer Fall für beschleunigtes Patch-Management, Zugangskontrolle und Log-Prüfung. Priorisieren Sie die Updates, härten Sie den Management-Zugriff und prüfen Sie, ob es bereits Anzeichen für Missbrauch auf betroffenen Knoten gibt.

Quellenangabe