:quality(90):no_upscale()){kind=logo}
Sicherheitslücke in der Identity Services Engine von Cisco: Die Plattform, die den Netzwerkzugang steuert, wurde zum Einfallstor für Angreifer
STATUS: Aktiv ausgenutzter Zero-Day SCHWERWIEGENDKEIT: 7/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
12. Oktober 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Eine Sicherheitslücke in der „Identity Services Engine“ von Cisco – der Plattform, die darüber entscheidet, welche Geräte und Benutzer Zugriff auf ein Netzwerk erhalten – ermöglichte es Angreifern, diese Entscheidung vollständig zu umgehen und dieselbe Root-Ebene-Vertrauensstufe zu erlangen, deren Durchsetzung die Plattform eigentlich gewährleisten soll. Cisco hat bestätigt, dass echte Kunden bereits kompromittiert wurden, bevor ein Patch verfügbar war, und dass es in der Zwischenzeit keine Möglichkeit gab, das Risiko zu mindern.
Was ist passiert?
Das System, das entwickelt wurde, um zu entscheiden, wer Zugang zum Netzwerk erhält, wurde zum Angriffsvektor.
Die Cisco Identity Services Engine (ISE) ist die Plattform, auf die sich viele Netzwerke in Behörden und Unternehmen stützen, um 802.1X- und RADIUS-Richtlinien durchzusetzen – also die Regeln, die festlegen, welche Geräte und Benutzer eine Verbindung herstellen dürfen und auf welche Ressourcen sie nach der Verbindung zugreifen dürfen.1 Eine in diesem Monat bekannt gewordene Sicherheitslücke (CVE-2026-76460) ermöglichte es einem nicht authentifizierten Angreifer aus der Ferne, diese Durchsetzung vollständig zu umgehen und Root-Rechte auf der Plattform selbst zu erlangen.1,2 Dieser Zugriff war mit demselben Vertrauensniveau verbunden, das das Netzwerk der ISE für jedes angeschlossene Gerät und jeden Benutzer übertragen hatte. Es handelte sich hierbei nicht um eine Kompromittierung, die auf einen einzelnen Endpunkt beschränkt war.
Das Sicherheitsteam von Cisco gab an, die aktive Ausnutzung im Rahmen eines Kundensupportfalls entdeckt zu haben, was bedeutet, dass reale Unternehmen bereits kompromittiert waren, bevor Cisco einen Patch zur Verteilung bereit hatte.3 Einmal im System, konnte ein Angreifer mit Root-Rechten die systemeigenen Protokolle der Plattform verändern oder löschen und so die Beweise beseitigen, auf die sich ein Sicherheitsteam normalerweise stützt, um den Einbruch zu erkennen und zu untersuchen.2 Cisco bestätigte, dass es für Unternehmen, die den Patch nicht sofort installieren können, keine Abhilfemaßnahme gibt. Der einzige Weg, das Risiko zu verringern, ist die Durchführung des Upgrades.1
Die CISA hat die Sicherheitslücke am 16. September 2026 in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen und den zivilen Bundesbehörden eine Frist von drei Tagen für die Behebung eingeräumt; die Bekanntgabe erfolgte einen Tag, nachdem Cisco eine separate, aktiv ausgenutzte Sicherheitslücke in seinem Secure Email Gateway bestätigt hatte.1,4 Zwei aktiv ausgenutzte Schwachstellen mit maximaler oder nahezu maximaler Schweregradstufe in der Kerninfrastruktur innerhalb von 48 Stunden sollten eine weitergehende Frage aufwerfen: Inwieweit hängt die Sicherheitslage einer Organisation davon ab, dass eine kleine Anzahl von Systemen mit hohen Berechtigungen sich selbst korrekt überwacht, ohne dass eine unabhängige Überprüfung stattfindet?
Auch für ISE ist dies kein Einzelfall. Die Plattform hat nun in zwei aufeinanderfolgenden Jahren einen Schlag mit höchster Schweregradstufe hinnehmen müssen: Im Jahr 2025 wurden zwei separate CVSS-10,0-Schwachstellen bekannt gegeben, und in dieser einen Veröffentlichung sind neun weitere Schwachstellen zusammengefasst, von denen drei als kritisch eingestuft wurden.4 Eine Plattform, die wiederholt die höchste Schweregradbewertung im Internet erhält, ist keine Plattform, deren Zugriffsentscheidungen man ohne eine unabhängige Möglichkeit zur Überprüfung vertrauen sollte.
Was sie herausfanden
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
Die Sicherheitslücke ermöglichte es einem Angreifer, die Zugriffskontrolle von Cisco ISE vollständig zu umgehen und dieselbe Root-Ebene zu erlangen, die die Plattform normalerweise erst nach der Überprüfung eines Geräts oder Benutzers gewährt. | Die Zugriffskontrolle ist nur so sicher wie die Plattform, die sie durchsetzt, und wenn diese Plattform selbst umgangen werden kann, ist jede von ihr getroffene nachgelagerte Zugriffsentscheidung fragwürdig. | Unternehmen können die Tatsache, dass „das Gerät die Netzwerkzugangskontrolle bestanden hat“, nicht als Beweis für irgendetwas ansehen, sobald sich herausgestellt hat, dass der Kontrollpunkt selbst umgangen werden kann. | Wie könnte ein Sicherheitsteam ohne eine separate, unabhängige Aufzeichnung, anhand derer es einen Abgleich vornehmen könnte, feststellen, ob ein Gerät den Zugriff über diese Umgehungsmöglichkeit und nicht über den normalen Überprüfungsprozess von Cisco erhalten hat? |
Durch die erfolgreiche Ausnutzung erhielten die Angreifer Zugriff auf Root-Ebene, einschließlich der Möglichkeit, die platformeigenen Protokolle zu ändern oder zu löschen. | Die Systemorganisationen, die normalerweise überprüfen würden, was während eines Vorfalls geschehen ist, konnten in diesem konkreten Fall nicht als Beweismittel herangezogen werden. | Bei der Reaktion auf Vorfälle kann man sich nicht ausschließlich auf die eigenen Aufzeichnungen des betroffenen Systems verlassen, sondern benötigt eine unabhängige Quelle, aus der hervorgeht, welche Geräte tatsächlich wann Zugriff hatten. | Führen betroffene Organisationen Zugriffs- und Compliance-Protokolle außerhalb der Zugriffskontrollplattform selbst, damit eine Untersuchung nicht vollständig von einem System abhängt, das ein Angreifer möglicherweise bereits manipuliert hat? |
Dies ist das zweite Jahr in Folge, in dem Cisco ISE eine Sicherheitslücke mit höchster Schweregradstufe aufweist, und allein in dieser Version wurden neun ISE-Sicherheitslücken gebündelt, von denen drei als kritisch eingestuft wurden. | Eine einzige Plattform, die die Zugriffskontrolle für ein gesamtes Netzwerk sicherstellt, ist ein wiederkehrendes Ziel und kein einmaliges Problem, das sich durch Patches beheben lässt. | Unternehmen, die den Zugriff und die Einhaltung von Vorschriften ausschließlich über die betroffene Plattform überprüfen, verfügen über keine unabhängige Kontrollmöglichkeit, wenn gerade diese Plattform kompromittiert wurde. | Hätte eine kontinuierliche, unabhängige Überprüfung der Gerätekonformität in diesem konkreten Fall die Zeitspanne zwischen der Kompromittierung und der Entdeckung verkürzt? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Sobald ein Gerät oder ein Benutzer die Netzwerkzugangskontrolle passiert hat, kann dieser Zugriff für die Dauer der Sitzung ohne weitere Überprüfung als vertrauenswürdig angesehen werden. | Die Plattform, die diese Überprüfung durchführt, kann selbst vollständig umgangen werden, was bedeutet, dass ein Gerät Zugriff erlangen könnte, ohne jemals die Überprüfung, von der die Organisationen annehmen, dass sie bestanden wurde, rechtmäßig bestanden zu haben. | BlackBerry®UEM überprüft die Konformität von Geräten fortlaufend, anstatt eine einzelne Entscheidung zur Zugriffskontrolle als dauerhaft zu betrachten. Daher wird der Status eines Geräts kontinuierlich neu bewertet, anstatt ihm nach einer einzigen Überprüfung auf unbestimmte Zeit Vertrauen zu schenken. |
Die Protokolle der Zugriffskontrollplattform selbst sind eine zuverlässige Aufzeichnung der Ereignisse im Netzwerk. | Durch die Ausnutzung von ISE auf Root-Ebene konnten Angreifer diese Protokolle verändern oder löschen und so die Beweise beseitigen, die ein Sicherheitsteam normalerweise als Erstes untersuchen würde. | Durch eine unabhängige, kontinuierliche Compliance-Überwachung wird der Gerätestatus außerhalb der Zugangskontrollplattform selbst protokolliert, sodass sich eine Untersuchung nicht auf Beweismittel beschränkt, die ein Angreifer möglicherweise bereits löschen konnte. |
Ein dreitägiges Patch-Fenster ist eine ausreichende Reaktionszeit für eine kritische Schwachstelle in der Zugriffskontrolle. | Cisco bestätigte, dass Angreifer die Sicherheitslücke bereits ausnutzten, bevor der Patch verfügbar war, was bedeutet, dass die tatsächliche Gefährdung bereits lange vor Beginn der Frist für die Einhaltung der Vorschriften bestand. | Durch die fortlaufende Zugriffsprüfung werden risikoreiche, nicht gepatchte Systeme sofort erkannt, sobald sich die Bedingungen ändern, anstatt auf einen geplanten Scan oder eine externe Frist zu warten, um ein bereits bestehendes Risiko aufzudecken. |
Empfohlene Maßnahmen
SOFORT | Stellen Sie sicher, dass jede Cisco ISE- und ISE-PIC-Instanz auf eine korrigierte Version aktualisiert wurde, und behandeln Sie jede Instanz, die vor dem 16. September über das Internet erreichbar und nicht gepatcht war, als potenziellen Sicherheitsverstoß und nicht als routinemäßiges Versäumnis bei der Installation eines Patches. |
SOFORT | Vergleichen Sie die eigenen Zugriffsprotokolle von ISE mit einer unabhängigen Aufzeichnung der Geräte- und Benutzeraktivitäten, da der Missbrauch von Root-Rechten die Möglichkeit beinhaltete, die Protokolle der Plattform zu manipulieren. |
KURZFRISTIG | Verringern Sie die Abhängigkeit von einer einzelnen Zugriffskontrollplattform als einzige verlässliche Quelle für die Ermittlung der im Netzwerk befindlichen Personen und richten Sie eine unabhängige Verifizierungsebene ein. |
KURZFRISTIG | Die Überprüfung der Gerätekonformität und des Zugriffs sollte nicht mehr als einmalige Überprüfung zum Zeitpunkt der Verbindung erfolgen, sondern auf ein kontinuierliches Modell umgestellt werden. |
LAUFEND | Verfolgen Sie, wie oft die Zugriffskontroll- und Identitätsplattformen, auf die sich Ihr Unternehmen stützt, Notfall-Patches erfordern, und betrachten Sie wiederkehrende Muster als Hinweis darauf, dass eine unabhängige Überprüfung erforderlich ist – und nicht nur, um Patches schneller zu installieren. |
Sicherheit muss den gesamten Gerätestack abdecken
Bei der Zugriffskontrolle wird das Vertrauen auf eine kleine Anzahl von Systemen konzentriert, die so konzipiert sind, dass sie diese Entscheidung jedes Mal korrekt treffen. Genau diese Konzentration macht diese Systeme zu einem lohnenden Angriffsziel: Wird die Plattform kompromittiert, die die Entscheidung trifft, geraten alle Geräte, die sie jemals zugelassen hat, sofort unter Verdacht. Ein Sicherheitskonzept, das vollständig davon abhängt, dass sich ein System selbst überprüft, hat keine Möglichkeit zu erkennen, wann dieses System selbst kompromittiert wurde. Eine fortlaufende, unabhängige Überprüfung der Gerätekonformität und der Zugriffsrechte dient genau diesem Zweck und deckt auf, was das Zugriffskontrollsystem selbst nicht mehr zuverlässig melden kann.
Quellenangaben:
(The Hacker News, Bericht über CVE-2026-76460, 17. September 2026).
Aktive Ausnutzung einer Sicherheitslücke in der Cisco Identity Services Engine (Cyber Security Agency of Singapore, Warnmeldung zur aktiven Ausnutzung der Sicherheitslücke in der Cisco ISE, 21. September 2026).
Cisco gibt einen weiteren ausgenutzten Zero-Day bekannt, diesmal eine glatte 10 (The Register, Bericht über Ciscos aufeinanderfolgende Offenlegungen von Zero-Day-Schwachstellen, 17. September 2026).
Cisco behebt „Perfect-10“-Zero-Day-Schwachstelle in ISE sowie 9 weitere Fehler [2026] (Tech Insider, Analyse von CVE-2026-76460 und der Schwachstellenhistorie von Cisco ISE, 22. September 2026).
:quality(90):no_upscale())