Die Schwachstelle liegt in einer unzureichenden Authentifizierungskontrolle an einem API-Endpunkt. „Ein Angreifer könnte die Schwachstelle ausnutzen, indem er eine präparierte Anfrage an einen betroffenen API-Endpunkt sendet", erklärt Cisco. Ein erfolgreicher Angriff ermögliche unbefugten Zugriff auf das betroffene Gerät durch Umgehung der webbasierten Verwaltungsoberfläche.
Cisco betont die Dringlichkeit ungewöhnlich deutlich: „Das Cisco PSIRT hat Kenntnis von einer aktiven Ausnutzung dieser Schwachstelle. Cisco empfiehlt Kunden nachdrücklich, auf eine fehlerbereinigte Softwareversion zu aktualisieren, um die Schwachstelle zu beheben." Da keine Behelfslösungen existieren, bleibt das Update die einzige Option.
Für die Spurensuche hat der Hersteller Kompromittierungsindikatoren veröffentlicht. Sicherheitsteams sollten die access.log-Dateien auf jedem Knoten auf auffällige Benutzernamen prüfen. Besteht der Verdacht auf bösartige Aktivität, empfiehlt Cisco „nachdrücklich", die Knoten neu aufzusetzen und aus Backups wiederherzustellen.
Zusätzlich raten die Sicherheitsverantwortlichen zum Abgleich von Firewall- und Netzwerkprotokollen, etwa auf Downloads und Uploads von und zu externen oder bösartigen IP-Adressen. Der Hintergrund: Angreifer können nach Erlangen von Codeausführung mit Root-Rechten Spuren ihres Zugriffs entfernen – lokale Logs allein sind damit keine verlässliche Grundlage.
Der Zero-Day ist nicht der einzige kritische Fund in der Produktfamilie. Einen Tag zuvor hatte Cisco eine zweite Authentifizierungsumgehung mit maximaler Schwerebewertung (CVE-2026-76423) sowie fünf weitere kritische Sicherheitsprobleme in Cisco ISE und ISE-PIC geschlossen, darunter CVE-2026-20176, CVE-2026-20211, CVE-2026-20307 und CVE-2026-20284. Für diese Lücken liegen bislang keine Hinweise auf aktive Ausnutzung vor.
Die CISA hat CVE-2026-76460 in den KEV-Katalog aufgenommen und US-Bundesbehörden eine Frist von drei Tagen zum Patchen gesetzt – eine ungewöhnlich kurze Vorgabe, die die Einschätzung des Risikos widerspiegelt.
Cisco ISE stand bereits zuvor im Fokus von Angreifern: Im Juli 2025 nutzten Bedrohungsakteure einen weiteren ISE-Zero-Day mit maximaler Schwerebewertung (CVE-2025-20337) für Angriffe mit Codeausführung aus der Ferne aus. Dabei installierten sie eine eigens entwickelte Web-Shell namens „IdentityAuditAction", die als legitime ISE-Komponente getarnt war.
Die Häufung ist kein Einzelfall: In den vergangenen fünf Jahren hat die CISA insgesamt 99 Schwachstellen in Cisco-Produkten als aktiv ausgenutzt markiert. Sieben davon wurden demnach in Ransomware-Angriffen missbraucht.