Kritisch71 / 100Konfidenz: Mittel

In CISA KEVCVSS10.0EPSS1.0 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend die von Cisco bereitgestellten Sicherheitsupdates für alle betroffenen Cisco ISE- und ISE-PIC-Instanzen.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-76460+25
Hoechster CVSS-Basiswert 10.0+18
Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-76460, CVSS-Vektor AV:N/PR:N)+10
Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2025-20337

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-17 07:20 UTCMethodik

Red Team

Cisco warns of max severity ISE zero-day exploited in attacks

BleepingComputer·17. September 2026, 07:20

Originalartikel lesen bei BleepingComputer

Cisco warnt vor einer kritischen Zero-Day-Schwachstelle (CVE-2026-76460) in seiner Identity Services Engine (ISE), die bereits aktiv ausgenutzt wird. Angreifer können die Authentifizierung umgehen und unautorisierten Zugriff auf betroffene Geräte erhalten. Cisco empfiehlt dringend, die bereitgestellten Sicherheitsupdates zu installieren, da keine Workarounds existieren.

SecBoard-Einordnung

Diese Schwachstelle ermöglicht es Angreifern, die Authentifizierung zu umgehen und unautorisierten Zugriff auf kritische Netzwerkzugriffskontrollsysteme zu erhalten, was die Netzwerksicherheit erheblich gefährdet.

Realistisch schlimmster Fall: Der schlimmste Fall ist ein vollständiger unautorisierter Zugriff auf die Cisco ISE/ISE-PIC-Geräte, was zur Kompromittierung der gesamten Netzwerkzugriffskontrolle und potenziell zu weiteren internen Netzwerkangriffen führen kann.

Im erfassten Bestand

▸CVE-2026-76460 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.
▸CVE-2026-76460 stand zum Zeitpunkt dieser Meldung seit 1 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-76460CISA KEV

CVSS: 10.0 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-09-16
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76423

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20307

CVSS: 9.9 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20176

CVSS: 9.1 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20211

CVSS: 9.1 · CRITICAL
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20284

CVSS: 9.1 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2025-20337

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Alle Benutzer von Cisco Identity Services Engine (ISE) und ISE Passive Identity Connector (ISE-PIC) sind betroffen.

Hersteller

Cisco

Produkte

Identity Services Engine2 Versionen

▸ CPE-Rohbezeichner anzeigen (20)

cpe:2.3:a:cisco:identity_services_engine:3.1.0:-:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch10:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch11:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch1:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch2:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch3:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch4:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch5:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch6:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch7:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch8:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch9:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:-:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch10:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch1:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch2:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch3:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch4:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch5:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch6:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie, ob alle Cisco ISE- und ISE-PIC-Instanzen auf die neuesten, gepatchten Versionen aktualisiert wurden.
▸Überwachen Sie Authentifizierungsprotokolle auf ungewöhnliche oder fehlgeschlagene Anmeldeversuche, insbesondere von unbekannten Quellen.

▸ 1 weitere

▸Führen Sie eine Bestandsaufnahme aller Cisco ISE- und ISE-PIC-Geräte durch, um sicherzustellen, dass keine ungepatchten Systeme übersehen werden.

Offene Punkte

▸ anzeigen

▸Die spezifischen Angriffsvektoren oder die genaue Methode der Authentifizierungsumgehung sind im Artikel nicht detailliert beschrieben.
▸Die Identität oder Motivation der Angreifer, die diese Zero-Day-Schwachstelle ausnutzen, ist nicht angegeben.
▸Die geografische Reichweite oder die spezifischen Branchen, die von den aktiven Ausnutzungen betroffen sind, sind nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Möglich
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Cisco extern erreichbar?
Haben wir Active Directory / Entra extern erreichbar?
Können wir Reconnaissance detektieren?
Können wir Resource Development detektieren?

MITRE ATT&CK(6)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1078Valid Accountszugeordnet

„Angreifer können die Authentifizierung umgehen und unautorisierten Zugriff auf betroffene Geräte erhalten.“

T1133External Remote Serviceszugeordnet

„Angreifer können die Authentifizierung umgehen und unautorisierten Zugriff auf betroffene Geräte erhalten.“

T1505.003Server Software Component: Web Shellabgeleitet

T1588.006Obtain Capabilities: Vulnerabilitiesabgeleitet

T1590.005Gather Victim Network Information: IP Addressesabgeleitet

T1592.002Gather Victim Host Information: Softwareabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

Quellen & Belege· 1 Quelle

BleepingComputerKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Cisco warns of max severity ISE zero-day exploited in attacks

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-76460 CVE-2026-76423 CVE-2026-20307 CVE-2026-20176 CVE-2026-20211 CVE-2026-20284 CVE-2025-20337

ATT&CK-Heatmap

Themen

Security

Vollständigen Artikel lesen bei BleepingComputer

Erwähnte CVEs (7)

CVE-2026-76460CRITICAL(10.0)

KEVEPSS 0.9%

A vulnerability in an API of Cisco Identity Services Engine (ISE) could allow an unauthenticated, remote attacker to bypass authentication. This vulnerability is due to insufficient authentication control on an API endpoint. An attacker could exploit this vulnerability by sending a crafted request to an affected API endpoint. A successful exploit could allow the attacker to gain unauthorized access to the affected device by bypassing the web-based management interface.

Details NVD

CVE-2026-76423CRITICAL(10.0)

EPSS 0.5%

A vulnerability in the REST API of Cisco ISE and Cisco ISE-PIC could allow an unauthenticated, remote attacker to gain administrative access to an affected device. This vulnerability is due to the REST API web service being exposed with insufficient authorization checks. An attacker could exploit this vulnerability by sending a crafted HTTP request to the exposed REST API port. A successful exploit could allow the attacker to read and modify ISE configuration and identity data with administrative privileges.

Details NVD

CVE-2026-20307CRITICAL(9.9)

EPSS 1.0%

A vulnerability in the web-based management interface of Cisco ISE could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit this vulnerability, the attacker must have at least low-privileged administrative credentials. This vulnerability is due to insecure deserialization of a user-supplied Java byte stream. An attacker could exploit this vulnerability by sending a crafted serialized Java object to the web-based management interface of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the device and elevate privileges to root. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a denial of service (DoS) condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored.

Details NVD

CVE-2026-20176CRITICAL(9.1)

EPSS 0.8%

A vulnerability in Cisco ISE could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit this vulnerability, the attacker must have valid high-privileged administrative credentials. This vulnerability is due to insufficient validation of user-supplied input. An attacker could exploit this vulnerability by sending a crafted HTTP request to an affected device. A successful exploit could allow the attacker to obtain system-level access to the underlying operating system and then elevate privileges to root. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a DoS condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored.

Details NVD

CVE-2026-20211CRITICAL(9.1)

EPSS 0.6%

A vulnerability in Cisco ISE could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit this vulnerability, the attacker must have valid high-privileged administrative credentials. This vulnerability is due to insecure deserialization of Java objects by the affected software. An attacker could exploit this vulnerability by sending a crafted serialized Java object to an affected device. A successful exploit could allow the attacker to obtain user-level access to the underlying operating system and then elevate privileges to root. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a DoS condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored.

Details NVD

CVE-2026-20284CRITICAL(9.1)

EPSS 0.4%

A vulnerability in the SXP REST API of Cisco ISE could allow an authenticated, remote attacker to conduct SQL injection attacks. This vulnerability is due to insufficient validation of user-supplied input in REST API calls. An attacker could exploit this vulnerability by sending crafted input to an affected device. A successful exploit could allow the attacker to view or modify data on the underlying database for the affected device. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a DoS condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored. To exploit this vulnerability, the attacker must have valid administrative credentials, have the SXP service enabled, and have at least one SXP connection configured.

Details NVD

CVE-2025-20337

Nicht in lokaler DB — siehe NVD

NVD