Symbolbild IT-Systeme. Bildquelle: Pexels / Foto-ID 36169774 / CC0-Lizenz
Ein abgeschlossenes Update-Ticket beantwortet noch nicht, ob ein Angreifer vorher Zugang hatte. Diese Unterscheidung bestimmt die Sicherheitsmeldungen dieser Woche. Cisco meldet aktive Angriffe auf die Zugangsverwaltung ISE und auf Secure Email Gateway. CISA hat außerdem eine Schwachstelle in Acronis-Erweiterungen für Hosting-Verwaltungsoberflächen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Für den Bereitschaftsdienst am Wochenende stehen damit konkrete Prüfaufträge an.
Das ITSM-Briefing vom 18. September 2026 trennt die Herstellerangaben von der betrieblichen Einordnung. Im Mittelpunkt steht die Entscheidung, wann ein Update genügt und wann die Untersuchung eines möglichen Sicherheitsvorfalls weiterlaufen muss.
Cisco ISE verlangt eine Prüfung aller Knoten
Cisco bestätigt aktive Ausnutzung einer Lücke in der Zugangsverwaltung. Das Advisory vom 16. September beschreibt CVE-2026-76460 in Identity Services Engine, kurz ISE, und ISE-PIC. Ein nicht angemeldeter Angreifer kann über einen unzureichend abgesicherten API-Endpunkt die Authentifizierung umgehen. Die Betroffenheit hängt laut Cisco nicht von der Gerätekonfiguration ab.
Für die Versionszweige 3.1 bis 3.5 nennt Cisco jeweils korrigierte Patchstände. Einen Workaround, der die Lücke behebt, gibt es nicht. Zugriffsbeschränkungen auf notwendigen Verwaltungsverkehr nennt der Hersteller als vorläufige Schutzmaßnahme. In verteilten Installationen sollen Administratoren die Protokolle jedes Knotens prüfen. Cisco warnt ausdrücklich, dass Angreifer Spuren auf kompromittierten Geräten löschen oder verbergen können. Deshalb gehören auch externe Netzwerk- und Firewall-Protokolle zur Untersuchung. Bei Verdacht auf bösartige Aktivitäten empfiehlt Cisco, betroffene Knoten neu aufzusetzen. Maßgeblich bleiben die produktspezifischen Hinweise im Cisco-Advisory vom 16. September.
Bedeutung für Service Manager: Update und Vorfallsprüfung brauchen getrennte Abschlusskriterien. Im Change-Ticket steht der neue Softwarestand; im Sicherheitsticket steht, welche Knoten und externen Protokolle untersucht wurden. Fehlt ein Knoten im Inventar, bleibt der Prüfauftrag offen. Die CMDB aus Servicefragen hilft, diese Zuordnung an den betroffenen Dienst und seine Verantwortlichen zu binden.
Beim Mail-Gateway reicht der Blick auf ein Gerät nicht
Cisco erweitert Hinweise zur Untersuchung kompromittierter Mail-Gateways. Das am 14. September veröffentlichte und am 17. September aktualisierte Advisory zu CVE-2026-76461 beschreibt eine SQL-Injection beim Verarbeiten von E-Mails. Präparierte Nachrichten können auf betroffenen Secure Email Gateways zur Ausführung von Befehlen mit höchsten Systemrechten führen. Physische und virtuelle Appliances sind unabhängig von ihrer Konfiguration betroffen. Cisco bestätigt aktive Ausnutzung und stellt korrigierte Software bereit.
Bei einer vermutlich kompromittierten virtuellen Appliance empfiehlt Cisco, zunächst forensische Informationen zu sichern, danach eine neue Instanz aufzusetzen, die Konfiguration neu aufzubauen und Zugangsdaten sowie kryptografisches Material zu erneuern. Ein Neubau vor der Beweissicherung würde Konfiguration und Protokolle zerstören. Gehört das Gerät zu einem Cluster, können entwendete SSH-Schlüssel weitere Mitglieder gefährden. Cisco empfiehlt deshalb die Wiederherstellung einer sicheren Konfiguration für jedes Mitglied eines betroffenen Clusters. Für physische Appliances verweist der Hersteller bei Verdacht auf seinen Support. Die Einzelheiten stehen im aktualisierten Cisco-Advisory.
Bedeutung für Service Manager: Vor einer Neuinstallation muss feststehen, wer Beweise sichert und wer die Wiederaufnahme des Mailbetriebs freigibt. Für Cluster ist ein gemeinsamer Vorfall mit nachvollziehbaren Teilaufträgen sinnvoll. Die Priorisierung von Sicherheitswarnungen nach Servicebezug verhindert, dass eine vermeintlich erledigte Einzelmaßnahme den Blick auf den gesamten Maildienst verstellt.
Acronis-Erweiterungen gehören in die Hosting-Inventur
CISA führt eine Acronis-Schwachstelle seit dem 16. September als bekannt ausgenutzt. Der Eintrag CVE-2026-87886 betrifft das Acronis-Backup-Plugin für cPanel und WHM sowie die Erweiterung für Plesk. Fehlerhafte Standardberechtigungen können laut CISA eine Ausweitung von Rechten erlauben. Die Meldung bezieht sich auf diese Erweiterungen; daraus lässt sich keine pauschale Betroffenheit sämtlicher Acronis-Produkte ableiten.
Der datierte CISA-KEV-Katalog verweist für Maßnahmen auf Herstelleranweisungen und führt eine forensische Erstprüfung auf. Eine Nutzung in Ransomware-Kampagnen ist dort als unbekannt vermerkt. Konkrete korrigierte Acronis-Versionsstände werden hier nicht genannt, weil sie aus dem geprüften Katalogeintrag nicht hervorgehen. Die darin verzeichnete Frist vom 19. September ist nicht automatisch eine rechtliche Frist für deutsche Unternehmen. Sie ersetzt weder die eigene Risikobewertung noch eine vertraglich vereinbarte Reaktionszeit des Hosting-Providers.
Bedeutung für Service Manager: Die Bestandsabfrage muss auch zu extern betriebenen Hosting-Plattformen gehen. Vom Provider werden Produkt und Version, Prüfung der Betroffenheit sowie der Nachweis einer umgesetzten Herstellermaßnahme benötigt. Die Rückmeldung „Backups laufen“ beantwortet keine dieser Fragen. Bei fehlenden Angaben bleibt die Zuständigkeit für die Nachforderung im Ticket benannt.
Was vor der Wochenendübergabe feststehen muss
- Welche Installationen wurden geprüft, und welche Rückmeldungen fehlen noch?
- Wer untersucht Angriffsspuren, auch außerhalb des betroffenen Geräts?
- Welche Belege müssen vor einem Neuaufsetzen gesichert werden?
- Wer entscheidet bei einem Verdacht über Wiederherstellung und Betriebsfreigabe?
Für die Übergabe am Freitag sollten offene Untersuchungen einen erreichbaren Verantwortlichen und einen nächsten Prüftermin haben. Ein erfolgreiches Update darf einen noch ungeklärten Kompromittierungsverdacht nicht aus der Bereitschaftsliste verschwinden lassen.
Stand und Quellenprüfung: 18. September 2026. Die betrieblichen Empfehlungen sind die redaktionelle Einordnung von ITSM.NEWS; technische Maßnahmen richten sich nach den verlinkten Primärquellen.
