Hoch65 / 100Konfidenz: Hoch

In CISA KEVCVSS10.0EPSS2 %Über Netz erreichbarOhne Anmeldung

Umgehende Installation der von Cisco bereitgestellten Patches für ISE und ISE-PIC und Überprüfung der System-Logs auf Anzeichen einer Kompromittierung.

▸Herleitung der Bewertung(4)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-76460, CVE-2026-76461+25
Hoechster CVSS-Basiswert 10.0+18
Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-76460, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

6 unabhaengige Herausgeber berichten den Sachverhalt
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-17 06:39 UTCMethodik

Red Team

Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks

The Hacker News·17. September 2026, 06:39

Originalartikel lesen bei The Hacker News

Cisco warnt vor einer kritischen Zero-Day-Schwachstelle (CVE-2026-76460) in Identity Services Engine (ISE) und ISE Passive Identity Connector (ISE-PIC), die bereits aktiv ausgenutzt wird. Angreifer können die Authentifizierung umgehen und unautorisierten Zugriff erlangen. Betroffene Kunden sollten umgehend auf die von Cisco bereitgestellten Patches aktualisieren und ihre Logs auf verdächtige Aktivitäten überprüfen.

SecBoard-Einordnung

Die Schwachstelle ermöglicht es Angreifern, die Authentifizierung zu umgehen und unautorisierten Zugriff auf kritische Netzwerkdienste zu erhalten, was zu weitreichenden Sicherheitsverletzungen führen kann. Da es sich um einen Zero-Day-Exploit handelt, ist die Bedrohung unmittelbar und erfordert sofortiges Handeln.

Realistisch schlimmster Fall: Unautorisierter Zugriff auf das Netzwerk, potenzielle Kompromittierung von Systemen, Datenexfiltration und weitreichende Betriebsunterbrechungen durch die Umgehung der Authentifizierung in einer zentralen Identitätsmanagement-Lösung.

Im erfassten Bestand

▸CVE-2026-76461 kommt damit in 9 erfassten Meldungen der letzten 90 Tage vor.
▸CVE-2026-76461 stand zum Zeitpunkt dieser Meldung seit 3 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 51

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-76460CISA KEV

CVSS: 10.0 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-09-16
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76461CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 2.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-09-14
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76423

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20192

CVSS: 10.0 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20130

CVSS: 10.0 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20307

CVSS: 9.9 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20329

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20324

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20234

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20325

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20330

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-20332

CVSS: 9.9 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

Betroffen

Organisationen, die Cisco Identity Services Engine (ISE) oder ISE Passive Identity Connector (ISE-PIC) verwenden.

Hersteller

Cisco

Produkte

Identity Services Engine2 VersionenSecure Email GatewayAsyncos

▸ CPE-Rohbezeichner anzeigen (21)

cpe:2.3:a:cisco:identity_services_engine:3.1.0:-:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch10:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch11:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch1:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch2:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch3:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch4:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch5:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch6:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch7:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch8:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.1.0:patch9:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:-:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch10:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch1:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch2:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch3:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch4:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch5:*:*:*:*:*:*
cpe:2.3:a:cisco:identity_services_engine:3.2.0:patch6:*:*:*:*:*:*
cpe:2.3:o:cisco:asyncos:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie, ob alle Cisco ISE- und ISE-PIC-Instanzen auf die neuesten gepatchten Versionen aktualisiert wurden.
▸Analysieren Sie die Logs von Cisco ISE und verbundenen Systemen auf ungewöhnliche Authentifizierungsversuche oder unautorisierte Zugriffe.

▸ 1 weitere

▸Stellen Sie sicher, dass Netzwerksegmentierung und Zugriffskontrollen so konfiguriert sind, dass selbst bei einer Umgehung der ISE-Authentifizierung der Schaden minimiert wird.

Offene Punkte

▸ anzeigen

▸Die spezifischen Angreifergruppen oder -akteure, die diese Schwachstelle ausnutzen, sind nicht genannt.
▸Die genauen Methoden oder Tools, die für die Ausnutzung verwendet werden, sind nicht detailliert.
▸Die geografische Reichweite oder die spezifischen Branchen, die von den aktiven Angriffen betroffen sind, sind nicht angegeben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Cisco extern erreichbar?
Können wir Reconnaissance detektieren?
Können wir Resource Development detektieren?

MITRE ATT&CK(7)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1133External Remote Serviceszugeordnet

„Angreifer können die Authentifizierung umgehen und unautorisierten Zugriff erlangen.“

T1550.002Use Alternate Authentication Material: Authentication Bypass: Web Authenticationzugeordnet

„This flaw allows unauthenticated remote attackers to bypass authentication and gain unauthorized access.“

T1588.006Obtain Capabilities: Vulnerabilitiesabgeleitet

T1589.001Gather Victim Identity Information: Credentialsabgeleitet

T1592.002Gather Victim Host Information: Softwareabgeleitet

T1656Impersonationabgeleitet

T1684.001Social Engineering: Impersonationabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

15. Sept.BleepingComputerKontext
Acronis warns of actively exploited flaw in its cPanel backup plugin
16. Sept.heise SecurityKontext
Angreifer attackieren Acronis Backup für cPanel/WHM und Plesk
16. Sept.SecurityWeekKontext
Acronis Patches Exploited Vulnerability in cPanel Backup Plugin
16. Sept.The Hacker NewsKontext
Acronis cPanel Backup Plugin Vulnerability Exploited in Targeted Attacks
16. Sept.CISA Current ActivityPrimärbeleg
CISA Adds Two Known Exploited Vulnerabilities to Catalog
17. Sept.CERT-FRKontext
Multiples vulnérabilités dans les produits Cisco (17 septembre 2026)

Der Vorgang wird seit 1 Tagen berichtet.

Quellen & Belege· 6 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

CISA Adds Two Known Exploited Vulnerabilities to Catalog

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Acronis warns of actively exploited flaw in its cPanel backup plugin

heise SecurityKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Angreifer attackieren Acronis Backup für cPanel/WHM und Plesk

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Acronis Patches Exploited Vulnerability in cPanel Backup Plugin

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

Multiples vulnérabilités dans les produits Cisco (17 septembre 2026)

Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News

Erwähnte CVEs (12)

CVE-2026-76460CRITICAL(10.0)

KEVEPSS 0.9%

A vulnerability in an API of Cisco Identity Services Engine (ISE) could allow an unauthenticated, remote attacker to bypass authentication. This vulnerability is due to insufficient authentication control on an API endpoint. An attacker could exploit this vulnerability by sending a crafted request to an affected API endpoint. A successful exploit could allow the attacker to gain unauthorized access to the affected device by bypassing the web-based management interface.

Details NVD

CVE-2026-76461CRITICAL(9.8)

KEVEPSS 2.0%

A vulnerability in the email parsing of Cisco AsyncOS Software for Cisco Secure Email Gateway could allow an unauthenticated, remote attacker to execute arbitrary commands with root privileges on the underlying operating system. This vulnerability is due to insufficient validation in the email parsing logic. An attacker could exploit this vulnerability by sending a crafted email message that contains malicious SQL statements through an affected device. A successful exploit could allow the attacker to execute arbitrary SQL statements, leading to command execution with root privileges on the underlying operating system.

Details NVD

CVE-2026-76423CRITICAL(10.0)

EPSS 0.5%

A vulnerability in the REST API of Cisco ISE and Cisco ISE-PIC could allow an unauthenticated, remote attacker to gain administrative access to an affected device. This vulnerability is due to the REST API web service being exposed with insufficient authorization checks. An attacker could exploit this vulnerability by sending a crafted HTTP request to the exposed REST API port. A successful exploit could allow the attacker to read and modify ISE configuration and identity data with administrative privileges.

Details NVD

CVE-2026-20192CRITICAL(10.0)

EPSS 0.4%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20192 are related to improper access control issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-284.

Details NVD

CVE-2026-20130CRITICAL(10.0)

EPSS 0.4%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC), engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20130 are related to improper neutralization of special elements issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-74.

Details NVD

CVE-2026-20307CRITICAL(9.9)

EPSS 1.0%

A vulnerability in the web-based management interface of Cisco ISE could allow an authenticated, remote attacker to execute arbitrary commands on the underlying operating system of an affected device. To exploit this vulnerability, the attacker must have at least low-privileged administrative credentials. This vulnerability is due to insecure deserialization of a user-supplied Java byte stream. An attacker could exploit this vulnerability by sending a crafted serialized Java object to the web-based management interface of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the device and elevate privileges to root. In single-node deployments, successful exploitation of this vulnerability could cause the affected ISE node to become unavailable, resulting in a denial of service (DoS) condition. In that condition, endpoints that have not already authenticated would be unable to access the network until the node is restored.

Details NVD

CVE-2026-20329CRITICAL(9.9)

EPSS 0.4%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Secure Adaptive Security Appliance Software, Cisco Secure Firewall Threat Defense Software and Cisco Secure Firewall Management Center Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.   The vulnerabilities tracked by CVE-2026-20329 are related to issues concerning improper handling of exceptional conditions that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-703.

Details NVD

CVE-2026-20324CRITICAL(9.9)

EPSS 0.4%

A vulnerability in the sftunnel inter-device communication protocol of Cisco Secure Firewall Management Center (FMC) Software could allow an authenticated, remote attacker to execute arbitrary commands as root. This vulnerability exists because a registered sftunnel peer has incorrect permissions to write an arbitrary file to any location on the device. An attacker could exploit this vulnerability by hijacking the sftunnel communication connection or being a valid registered sftunnel peer and sending an sftunnel command to write a malicious file to the disk of an affected device. A successful exploit could allow the attacker to write a file to the device that is executed with root privileges. To exploit this vulnerability, the attacker must have valid user credentials on the affected device.

Details NVD

CVE-2026-20234CRITICAL(9.9)

EPSS 0.4%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20234 are related to insufficiently protected credentials issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-522.

Details NVD

CVE-2026-20325CRITICAL(9.9)

EPSS 0.3%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Nexus Dashboard engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20325 are related to improper neutralization of special elements used in a command issue that are grouped under the Common Weakness Enumeration (CWE) CWE-77.

Details NVD

CVE-2026-20330CRITICAL(9.9)

EPSS 0.3%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Secure Adaptive Security Appliance Software, Cisco Secure Firewall Threat Defense Software and Cisco Secure Firewall Management Center Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.   The vulnerabilities tracked by CVE-2026-20330 are related to improper neutralization issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-707.

Details NVD

CVE-2026-20332CRITICAL(9.9)

EPSS 0.3%

As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Secure Adaptive Security Appliance Software, Cisco Secure Firewall Threat Defense Software and Cisco Secure Firewall Management Center Software engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.   The vulnerabilities tracked by CVE-2026-20332 are related to improper access control issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-284.

Details NVD