Was Cisco tatsächlich offengelegt hat
Cisco veröffentlichte am 16. September 2026 ein Sicherheitsadvisory zu CVE-2026-76460, einer Authentifizierungslücke in Identity Services Engine und ISE Passive Identity Connector, verursacht durch unzureichende Authentifizierungskontrolle an einem API-Endpunkt.
Ein unauthentifizierter Angreifer aus der Ferne kann eine speziell präparierte Anfrage an diesen Endpunkt senden und so die webbasierte Verwaltungsoberfläche des Geräts erreichen, ohne jemals gültige Administratordaten vorzulegen. Ciscos Product Security Incident Response Team stellt klar fest, dass bereits aktive Ausnutzung bekannt ist. Der CVSS-Wert liegt bei 10.0, dem Maximum der Skala, was einen Angriff widerspiegelt, der keine Rechte und keine Nutzerinteraktion braucht und Vertraulichkeit, Integrität und Verfügbarkeit gleichzeitig kompromittieren kann.
Warum ausgerechnet ISE die eigentliche Geschichte ist
Identity Services Engine ist Ciscos Network-Access-Control-Produkt, das System, das jedes Gerät und jeden Nutzer authentifiziert, der einem Unternehmensnetzwerk beitreten will, und entscheidet, was sie danach berühren dürfen.
Eine Lücke in einem beliebigen Anwendungsserver ist ein Problem für diesen Server. Eine Lücke im System, das überhaupt erst Netzwerkvertrauen vergibt, ist ein Problem für alles dahinter, weil ISE das Tor ist, das andere Schutzmaßnahmen als geschlossen voraussetzen. Ein Angreifer, der ISEs eigene Authentifizierung umgeht, schleicht sich nicht an einem Wächter vorbei, er geht durch eine Tür, an der nie ein Wächter stand.
Die Patch-Tabelle: fünf Versionen, fünf Fixes
Die ISE- und ISE-PIC-Releases 3.1 bis 3.5 sind alle betroffen, und jede Version braucht ihren eigenen spezifischen Patch statt eines pauschalen Updates.
| ISE-/ISE-PIC-Version | Fix-Release |
|---|---|
| 3.1 | Patch 12 |
| 3.2 | Patch 11 |
| 3.3 | Patch 12 |
| 3.4 | Patch 7 |
| 3.5 | Patch 4 |
Ein IT-Team sollte vor dem Patchen die genaue laufende Version im eigenen Umfeld bestätigen, denn der falsche Patch-Stand lässt das Gerät exponiert, während es aktualisiert aussieht.
Kein Workaround ist die eigentliche Schlagzeile
Cisco erklärt direkt, dass für CVE-2026-76460 kein Workaround existiert. Die einzige angebotene Maßnahme ist, Management- und Steuerungsverkehr mittels Infrastructure Access Control Lists auf explizit vertrauenswürdige Systeme zu beschränken, was die Angriffsfläche verkleinert, die Lücke selbst aber nicht schließt.
Dieser Unterschied ist für die Planung entscheidend. Ein Workaround verschafft Zeit; eine Maßnahme zur Expositionsreduktion verschafft nur ein kleineres Fenster, während die eigentliche Lösung, der Patch, trotzdem noch erfolgen muss. Ein Team, das sich den iACL-Schritt als Behebung einredet, entscheidet sich lediglich dafür, gegenüber einer kleineren Angreifermenge verwundbar zu bleiben.
Die Frist, die in der EU tatsächlich gilt
Der Eintrag im Known-Exploited-Vulnerabilities-Katalog der CISA setzt eine Frist zum 19. September 2026, doch dieses Datum bindet ausschließlich zivile US-Bundesbehörden unter der Binding Operational Directive 26-04. Für ein Unternehmen in Deutschland, Frankreich oder anderswo in der EU entsteht daraus keine rechtliche Pflicht.
Die Frist, die tatsächlich greift, ist die von NIS2, und sie beginnt an einem ganz anderen Auslöser: nicht an einem Katalogdatum, sondern an einem tatsächlichen erheblichen Sicherheitsvorfall. Ein wesentliches oder wichtiges Unternehmen, das durch diese Lücke vor dem Patchen kompromittiert wird, muss seinem nationalen CSIRT oder der zuständigen Behörde innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung melden, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden. Die US-Frist ist ein praktischer Maßstab für Dringlichkeit; die EU-Frist ist diejenige mit echten Konsequenzen, falls diese Lücke gegen Sie eingesetzt wird.
Was heute zuerst zu tun ist
Prüfen Sie, ob ISE oder ISE-PIC irgendwo im Umfeld läuft, einschließlich Instanzen, die eine Fachabteilung oder ein Remote-Team ohne Wissen der zentralen IT aufgesetzt hat, denn genau solche Schatten-Deployments verpasst ein katalogsgetriebener Patch-Zyklus.
Gleichen Sie die laufende Version mit der obigen Patch-Tabelle ab und spielen Sie den passenden Fix sofort ein. Wo Patchen heute nicht möglich ist, beschränken Sie die Verwaltungsoberfläche mit einer iACL, aber nur als Übergangslösung, nie als Plan. Prüfen Sie anschließend die Zugriffsprotokolle des Geräts auf Anzeichen, dass der Endpunkt bereits vor dem Patch erreicht wurde, denn Ciscos eigenes Advisory bestätigt, dass Angreifer diese Lücke zuerst gefunden haben.
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: KI beschleunigt, wie schnell Spionagegruppen Exploits verbreiten | Google nannte es Medium. Die CISA gab 15 Tage.
