Kurzfassung

CVE-2026-76460 betrifft Cisco Identity Services Engine und Cisco ISE Passive Identity Connector. Die Schwachstelle wird laut CISA bereits aktiv ausgenutzt. Unternehmen sollten betroffene Systeme sofort prüfen und bereitstehende Hersteller-Maßnahmen umgehend umsetzen, nicht erst im nächsten Wartungsfenster.

Was ist passiert?

Bei Cisco Identity Services Engine (ISE) sowie Cisco ISE-PIC ist eine Schwachstelle bekannt geworden, die einen nicht authentifizierten Angriff aus der Ferne ermöglicht. Nach der Beschreibung kann ein Angreifer die webbasierte Verwaltungsoberfläche umgehen und sich unberechtigten Zugriff auf das betroffene System verschaffen.

Besonders relevant ist der Status der Schwachstelle: CISA führt CVE-2026-76460 als bereits ausgenutzt. Für Unternehmen im DACH-Raum erhöht das die Priorität deutlich. Sobald eine Lücke nicht nur theoretisch ausnutzbar ist, sondern nachweislich in realen Angriffen vorkommt, zählt jede unnötige Verzögerung.

Cisco ISE ist in vielen Umgebungen sicherheitskritisch, etwa für Netzwerkzugangskontrolle, Identitäts- und Richtlinienentscheidungen. Ein erfolgreicher Zugriff auf diese Systeme kann daher weit über ein einzelnes Administrationsportal hinausreichen.

Technische Details

CVE-2026-76460 beschreibt eine fehlerhafte Nutzung privilegierter Programmierschnittstellen in Cisco ISE und Cisco ISE-PIC. Dadurch kann ein entfernter, nicht authentifizierter Angreifer die webbasierte Management-Schnittstelle umgehen und unautorisierten Zugriff auf das betroffene Gerät erhalten.

NVD hat noch keinen CVSS-Wert vergeben.

Als besonders kritisch ist der bereits bestätigte Missbrauch in freier Wildbahn zu werten. Das ist für die Priorisierung wichtiger als ein noch fehlender Schweregrad in der NVD. Ob weitere technische Details, konkrete Angriffsvektoren oder Indikatoren für Kompromittierung öffentlich vorliegen, geht aus den verfügbaren Angaben nicht hervor.

Wer ist betroffen?

Betroffen sind Cisco Identity Services Engine und Cisco ISE Passive Identity Connector. Welche exakten Versionen verwundbar sind, wird in den hier vorliegenden Informationen nicht genannt.

Für Unternehmen relevant ist das vor allem dann, wenn Cisco ISE direkt oder indirekt aus erreichbaren Verwaltungsnetzen angesprochen werden kann. Höhere Dringlichkeit besteht bei Instanzen mit externer Erreichbarkeit, bei gemeinsam genutzten Administratorzugängen, bei schwacher Segmentierung oder wenn ISE tief in Authentifizierungs- und Zugangsprozesse eingebunden ist.

Für Privatnutzer spielt die Schwachstelle in der Regel keine Rolle, da Cisco ISE ein Unternehmensprodukt ist.

Empfohlene Maßnahmen

Erstens: Prüfen Sie sofort, ob Cisco ISE oder Cisco ISE-PIC in Ihrer Umgebung betrieben werden. Inventarisierung, Internet-Exponierung und administrative Erreichbarkeit sollten noch am selben Tag geklärt sein.

Zweitens: Setzen Sie verfügbare Hersteller-Maßnahmen unverzüglich um. Bei einer aktiv ausgenutzten Schwachstelle ist Warten auf das nächste reguläre Wartungsfenster nicht angemessen.

Drittens: Beschränken Sie den Zugriff auf die webbasierte Verwaltungsoberfläche konsequent. Falls Systeme exponiert sind, sollte der Zugriff umgehend auf dedizierte Admin-Netze, VPN-Zugänge oder Jump-Hosts reduziert werden. Ist das kurzfristig nicht möglich, sollten betroffene Instanzen vorübergehend aus exponierten Pfaden entfernt werden.

Viertens: Sichern Sie Belege für eine mögliche Kompromittierung. Prüfen Sie Anmelde- und Administrationsprotokolle, Änderungen an Richtlinien, neu angelegte Konten, ungewöhnliche API-Nutzung und Konfigurationsänderungen. Bei Verdacht sollten Sie forensische Sicherung und Incident-Response-Prozesse sofort anstoßen.

Fünftens: Rotieren Sie administrative Zugangsdaten und überprüfen Sie Vertrauensstellungen, wenn Anzeichen für unberechtigten Zugriff bestehen. Da ISE oft mit zentralen Sicherheits- und Netzwerkprozessen verknüpft ist, darf eine mögliche Seitwärtsbewegung nicht unterschätzt werden.

Ob ein Patch bereitsteht, wird in den verfügbaren Angaben nicht mitgeteilt.

Einschätzung von CyberSecurity-News.de

Die wichtigste Nachricht ist nicht ein theoretischer Schweregrad, sondern die bestätigte aktive Ausnutzung. Genau deshalb ist CVE-2026-76460 für betroffene Unternehmen hoch relevant, auch wenn NVD noch keinen CVSS-Wert veröffentlicht hat und derzeit nur begrenzte technische Details vorliegen.

Die Informationslage bleibt an einem entscheidenden Punkt unvollständig: Konkrete betroffene Versionen und öffentlich verlinkte Hersteller-Hinweise fehlen in den übergebenen Informationen. Das erschwert die operative Umsetzung unnötig. Für Administratoren bedeutet das: nicht auf perfekte Transparenz warten, sondern anhand des Produktbestands sofort handeln.

Im Vergleich zu vielen Meldungen über noch nicht beobachtete Schwachstellen ist der Fall klar höher zu priorisieren. Wer Cisco ISE betreibt, sollte die Angelegenheit als akuten Härtungs- und Patch-Fall behandeln.

Fazit

Wenn Sie Cisco ISE oder ISE-PIC einsetzen, behandeln Sie CVE-2026-76460 als Sofortmaßnahme. Prüfen Sie Exponierung, setzen Sie verfügbare Abhilfen um und untersuchen Sie die Systeme auf Anzeichen unberechtigten Zugriffs.

Ohne belastbare Versionsangaben und ohne veröffentlichten CVSS-Wert bleibt die Detailtiefe begrenzt. An der Dringlichkeit ändert das nichts, denn die Schwachstelle wird bereits aktiv missbraucht.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-76460.