Workarounds gibt es nach Angaben von Cisco nicht. Als Gegenmaßnahme empfiehlt der Hersteller den Einsatz von Infrastruktur-Zugriffskontrolllisten (iACLs), die ausschließlich den benötigten Verwaltungs- und Steuerungsverkehr zum betroffenen Gerät zulassen. Ansonsten bleibt nur das Update auf eine korrigierte Version.
Zur Suche nach Kompromittierungsspuren rät Cisco, die Datei „access.log" auf auffällige Benutzernamen zu prüfen. Bei verteilten Installationen müssen die Protokolle jedes einzelnen Knotens durchgesehen werden; Cisco stellt dafür einen Befehl bereit, der unerwartete Benutzernamen aufspürt. Jeder Treffer in der Ausgabe deutet mit hoher Wahrscheinlichkeit auf bösartige Aktivität hin. In diesem Fall sollen die betroffenen Knoten neu aufgesetzt und bei Bedarf aus einer Konfigurationssicherung wiederhergestellt werden.
Die Aussagekraft solcher Spuren ist allerdings begrenzt. „Nach erfolgreicher Ausnutzung dieser Schwachstelle können Angreifer Befehlsausführung mit Root-Rechten erlangen", so Cisco. „Aufgrund dieses Zugriffsniveaus können Beweise für eine Ausnutzung und Kompromittierungsindikatoren von den Angreifern entfernt oder verborgen werden."
Die Warnung folgt nur wenige Tage auf eine andere Meldung des Herstellers: Eine kritische Lücke in der AsyncOS-Software für das Cisco Secure Email Gateway (CVE-2026-76461, CVSS 9.8) wird demnach ebenfalls bereits aktiv im Internet ausgenutzt.
Parallel zu CVE-2026-76460 hat Cisco Korrekturen für eine Reihe weiterer kritischer Schwachstellen quer durch das Produktportfolio veröffentlicht. Ein Teil davon sind Härtungsmaßnahmen aus einer laufenden internen Überprüfung. Von den 77 am Mittwoch veröffentlichten CVEs entfallen 41 auf ISE und 28 auf das Secure-Firewall-Portfolio.
Keine dieser zusätzlichen Schwachstellen gilt bislang als aktiv ausgenutzt. Angesichts ihrer Kritikalität und der Tatsache, dass sie mehrere Wege zur Ausführung beliebigen Codes eröffnen, sollten die Updates dennoch zeitnah eingespielt werden.