Besonders brisant ist die Lücke aus zwei Gründen. Zum einen erhalten Angreifer bei erfolgreicher Ausnutzung Root-Rechte und die Möglichkeit zur Befehlsausführung auf verwundbaren Instanzen – ohne Authentifizierung und ohne Zutun eines Nutzers. Zum anderen dient ISE selbst anderen Cisco-APIs als Instanz für Authentifizierung und Zugriffskontrolle.
„Fehlende Authentifizierung bei API-Endpunkten ist ein branchenweites Problem", sagt Johannes Ullrich, Gründer des SANS Internet Storm Center, gegenüber Dark Reading. Theoretisch müsse jede Anfrage an einen API-Endpunkt sauber authentifiziert und zugriffsgeschützt werden – in der Praxis geschehe das nicht immer. „In manchen Fällen werden APIs freigelegt, die früher nicht direkt erreichbar waren, und dabei werden ordentliche Authentifizierung und Zugriffskontrolle übersprungen", so Ullrich. Das passiere leicht, wenn immer umfangreichere Schnittstellen für moderne Web-Oberflächen exponiert würden.
Wer ISE kompromittiert, kann die Lösung nach Ullrichs Einschätzung abschalten, sich Zugang zu verschiedenen Netzwerken verschaffen oder andere Hosts imitieren. Weil Anwendungen sich auf die Zugriffsentscheidungen der kompromittierten Plattform verlassen, drohen Folgekompromittierungen. „Kurz gesagt: Es ist, als würde man den Wachmann eines Gebäudes durch einen Hochstapler ersetzen, sodass Eindringlinge mit gefälschten Ausweisen hineinkommen", sagt Ullrich. „Die Beschäftigten im Gebäude vertrauen diesen Ausweisen, weil sie glauben, der Wachmann am Eingang habe sie geprüft."
Der Threat-Intelligence-Anbieter Bitsight weist in einem eigenen Hinweis darauf hin, dass ISE im Zentrum der Identitäts- und Netzzugangsinfrastruktur vieler Organisationen steht. „Es hilft dabei, zu bestimmen, welche Nutzer und Geräte sich mit einem Netzwerk verbinden dürfen und worauf sie nach der Verbindung zugreifen können", schreibt Emma Stevens, Senior Threat Intelligence Advisor bei Bitsight. Zugriff auf Root-Ebene in dieser Infrastruktur erzeuge Risiken für Sichtbarkeit, Integrität und Verfügbarkeit in einer weit größeren Umgebung.
Ullrich ordnet den Fall in eine Reihe ähnlicher Cisco-Schwachstellen ein. CVE-2026-20223, ein Fehler unzureichender Authentifizierung in den internen REST-APIs von Cisco Secure Workload, wurde im Mai offengelegt und erhielt ebenfalls den CVSS-Höchstwert 10. CVE-2026-20129, eine kritische Umgehung der API-Authentifizierung im Cisco Catalyst SD-WAN Manager mit CVSS 9.8, wurde im Februar publik; darüber lassen sich Befehle mit den Rechten der Rolle netadmin ausführen.
Cisco stellt Patches für die ISE- und ISE-PIC-Versionen 3.1 bis 3.5 bereit. Version 3.0 wird nicht mehr unterstützt; Kunden sollen auf eine korrigierte Version wechseln. Als teilweise Gegenmaßnahme nennt der Hersteller Infrastructure Access Control Lists (iACLs), die nur den nötigen Management- und Control-Plane-Verkehr zu den betroffenen Geräten zulassen und so eine Ausnutzung aus der Ferne verhindern. Solche Maßnahmen seien aber nur eine Übergangslösung.
Da Angreifer mit Root-Rechten Spuren und Kompromittierungsindikatoren löschen oder verbergen können, empfiehlt Cisco ausdrücklich, Netzwerk- und Firewall-Protokolle außerhalb des betroffenen Geräts gegenzuprüfen – unter anderem auf unerwartete Uploads vom betroffenen Gerät an externe IP-Adressen oder Downloads von bösartigen IP-Adressen.