Cisco-ISE-Lücke: Wie kritisch ist CVE-2026-76460?

Cisco ISE: Kritische Lücke lässt Angreifer die Anmeldung umgehen

Michael Dobler

Autor Dr. Web

17. September 2026

2 Min. Lesezeit

Cisco ISE kontrolliert in vielen Firmennetzen jeden Zugang zum Netzwerk. Genau diese Torwächter-Software trägt jetzt eine Lücke mit dem Höchstwert CVSS 10,0. Angreifer nutzen sie bereits aus. Die US-Behörde CISA setzt Bundesbehörden eine Frist bis zum 19. September 2026.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Cisco ISE steuert in Unternehmen den Zugang zum gesamten Netzwerk, von der WLAN-Anmeldung bis zum VPN. Genau dort klafft jetzt eine Schwachstelle der höchsten Kategorie. Aufgefallen ist sie bei einem Cisco-Support-Fall, in dem Angreifer schon in einem Firmennetz saßen, bevor die Lücke einen Namen trug.

Das Wichtigste in Kürze

CVE-2026-76460 erreicht mit CVSS 10,0 den Maximalwert und lässt sich ohne Zugangsdaten aus der Ferne ausnutzen.
Betroffen sind Cisco ISE und der ISE Passive Identity Connector, unabhängig von der Konfiguration.
Cisco bestätigt aktive Angriffe; die CISA-Frist für US-Bundesbehörden endet am 19. September 2026.
Einen Workaround gibt es nicht, nur den Patch und eine strikte Abschottung der Verwaltungsschnittstelle.

Was macht Cisco ISE so wertvoll für Angreifer?

Ein geschlossenes Metall-Drehkreuz mit Kette und Schloss, dazu ein Schild „OFFEN“ — Identity Services Engine verteilt Netzrechte per 802.1X, RADIUS und TACACS+. Ein Ausfall gefährdet alle Zugriffe

Zentrale Instanz. Die Identity Services Engine verteilt in Firmennetzen die Zutrittsrechte und prüft per 802.1X, RADIUS und TACACS+, welches Gerät und welcher Mitarbeiter ins Netz darf. Fällt diese Instanz, fällt die Kontrolle über alle daran hängenden Zugänge.

Ungeschützte Schnittstelle. Die Lücke sitzt laut Cisco in einer Programmierschnittstelle ohne ausreichende Authentifizierungsprüfung.^[1] Ein präparierter Aufruf genügt, um die Anmeldung an der Weboberfläche komplett zu überspringen und danach Befehle mit Root-Rechten auszuführen. Damit stellt ein Angreifer sich selbst Zugänge aus und löscht die eigenen Spuren gleich wieder.

Eine Lücke in der Zugangskontrolle ist kein gewöhnlicher Bug, sondern ein Generalschlüssel fürs ganze Netz. Ein gekaperter Torwächter braucht keine echte Anmeldung mehr.
— Markus Seyfferth, Chefredakteur Dr. Web

Warum trifft es gerade die Netzwerk-Randgeräte?

Serie statt Einzelfall. Die ISE-Lücke reiht sich in eine ganze Serie ein. Erst hob die CISA eine Firewall-Lücke bei Cisco auf die Höchststufe, kurz darauf genügte beim Secure Email Gateway eine präparierte Mail für Root-Rechte.

Rand unter Dauerfeuer. Das Muster reicht über Cisco hinaus. Auch bei Palo Altos PAN-OS und in GitLab hebelten Angreifer zuletzt kritische Schutzmechanismen aus. Firewalls, Mail-Gateways und Identitätsserver sitzen am Netzwerkrand, sind aus dem Internet erreichbar und öffnen bei einer einzigen Lücke gleich das ganze Haus. Die Basis dazu bündelt unser Ratgeber zu den Cybersecurity-Grundlagen für KMU.

Was jetzt für deutsche IT-Verantwortliche zählt

Sofort patchen. Cisco stellt fehlerbereinigte Versionen bereit, einen Workaround gibt es nicht. „Cisco PSIRT ist sich der aktiven Ausnutzung dieser Schwachstelle bewusst und empfiehlt dringend, auf eine fehlerbereinigte Softwareversion zu aktualisieren“, teilt der Hersteller mit.^[1] Die CISA nahm die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 19. September 2026.^[2]

Pflicht per NIS2. Für deutsche Betreiber ist das keine reine US-Angelegenheit. Unter NIS2 müssen wichtige und besonders wichtige Einrichtungen bekannte, aktiv ausgenutzte Lücken unverzüglich schließen und Vorfälle melden. Bei einem aus dem Internet erreichbaren ISE-System führt kein Weg an der Annahme eines Ernstfalls vorbei, denn Root-Rechte erlauben das Löschen von Spuren. Eine forensische Prüfung ersetzt darum den bloßen Blick ins Log.

Angriffsfläche verkleinern. Die Verwaltungsschnittstelle gehört hinter strikte Zugriffslisten, getrennt vom offenen Netz, damit ein Aufruf von außen erst gar nicht ankommt. Genau diese Abschottung per Infrastruktur-ACL nennt Cisco als einzige wirksame Ergänzung zum Patch. Mehr Begriffe rund um Zero Trust und Segmentierung erklärt unser Cybersecurity-Glossar.

Cisco-ISE-Lücke CVE-2026-76460 in Zahlen

Eine Schwachstelle mit Höchstwertung, bereits aktiv ausgenutzt