Die US-amerikanische Cybersicherheits- und Infrastrukturbehörde (CISA) hat am 30. Oktober 2026 zwei Schwachstellen in Ivanti Connect Secure in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und sich dabei auf Belege für aktive Ausnutzung berufen. Die Lücken sind Teil einer Angriffskette aus drei Schwachstellen, die laut Forschern Angreifern erlaubt, Code mit vollständiger administrativer Kontrolle auszuführen, ohne sich zuvor anzumelden. Patches sind jetzt verfügbar.
Organisationen, die Ivanti Connect Secure (ICS) einsetzen, sollten die Updates priorisieren. Bei den Angriffen wurden laut The Hacker News, das sich auf Erkenntnisse von Volexity beruft, Zugangsdaten extrahiert und nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln gesucht. Mit diesen lassen sich verschlüsselte Laufwerke entsperren.
Wie die drei Schwachstellen zusammenwirken
Laut Warnmeldung der CISA handelt es sich bei den beiden neu aufgenommenen Schwachstellen um Folgende:
- CVE-2026-111357, mit einem CVSS-Schweregrad von 8,8: fehlende Authentifizierung für eine kritische Funktion, die einem lokalen, authentifizierten Angreifer erlaubt, seine Rechte zu erweitern.
- CVE-2026-118527, mit einem CVSS-Wert von 4,3: vorhersagbare Nummern bzw. Kennungen, die einem entfernten, authentifizierten Angreifer erlauben, Dateien mit vom Angreifer kontrollierten Inhalten an einen bekannten Speicherort auf dem Datenträger hochzuladen.
Diese einzelnen Authentifizierungsvoraussetzungen sind wichtig, doch die gemeldete Angriffskette kombiniert die Lücken mit CVE-2026-104935, einer Authentifizierungsumgehung mit einem CVSS-Wert von 8,6. Die CISA hat diese dritte Schwachstelle am 13. Oktober 2026 in ihren Katalog aufgenommen.
Wie im Bericht von The Hacker News beschrieben, hatte Volexity die Angriffskette zuvor im Oktober erstmals dokumentiert und ihren Einsatz einem bisher unbekannten Bedrohungsakteur zugeschrieben, den das Unternehmen UTA0576 nennt. Die Forscher erklärten, die Kombination aus Authentifizierungsumgehung, Remote Code Execution – also dem Ausführen des Codes eines Angreifers auf einem anderen System – und Rechteerweiterung habe eine nicht authentifizierte Ausführung mit Root-Rechten ermöglicht, also die höchste Kontrollstufe über das System.
Volexity beobachtete, dass UTA0576 Zugangsdaten und begrenzte Active-Directory-Metadaten extrahierte. Dabei handelt es sich um Informationen aus dem Verzeichnisdienst, mit dem Organisationen Benutzer und Computer verwalten. Der Akteur sammelte außerdem Informationen über kompromittierte Hosts und suchte nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln, statt dem typischeren Muster zu folgen, Web-Shells oder Malware zu installieren.
Verfügbare Korrekturen und Fristen für Bundesbehörden
The Hacker News berichtete, dass Patches für beide neu aufgenommenen Schwachstellen in diesen ICS-Releases verfügbar sind:
- 25.1.1.3, die betroffene Versionen 25.1.1.2 und älter im selben Release-Zweig behebt.
- 22.8R2.6, die betroffene Versionen 22.8R2.5 und älter im selben Release-Zweig behebt.
Dem Bericht zufolge behebt das neueste Release alle Schwachstellen, die in den beobachteten Angriffen verkettet wurden.
Ivanti erklärte, der Fix für CVE-2026-104935 habe für unterstützte Versionen bereits die Qualitätssicherung durchlaufen, als die Ausnutzung entdeckt wurde. Als die lokale Schwachstelle zur Rechteerweiterung bekannt wurde, entschied sich das Unternehmen, den Fix für die Authentifizierungsumgehung ohne Wartezeit zu veröffentlichen, um den wichtigsten Ausnutzungspfad zu schließen. Zum Zeitpunkt, als die Details zu den Angriffen öffentlich wurden, arbeitete es noch am Fix für die Rechteerweiterung.
Ivanti erklärte außerdem, einen Teil der Schwachstelle über das eigene Produktsicherheitsprogramm entdeckt und im Juli-Release 25.1.3.0 gepatcht zu haben. Das Unternehmen gab an, den Fix gerade auf weitere unterstützte Versionen zu bringen, als die Ausnutzung stattfand.
Die Warnmeldung der CISA ordnet die Ergänzungen der Binding Operational Directive 26-04 zu. Diese verpflichtet zivile Bundesbehörden der Exekutive (Federal Civilian Executive Branch, FCEB), im Katalog aufgeführte Schwachstellen mit hohem Risiko auf öffentlich erreichbaren Systemen zu priorisieren, wenn eine Ausnutzung die vollständige Kontrolle ermöglicht. Die Direktive legt außerdem fest, dass vor dem Patchen geprüft werden soll, ob Systeme bereits kompromittiert wurden.
The Hacker News nennt für Bundesbehörden Fristen zur Behebung: den 2. November 2026 für CVE-2026-111357 und den 13. November 2026 für CVE-2026-118527. Diese Vorgaben gelten für die von der Direktive erfassten Bundesbehörden. Die CISA empfiehlt allen Organisationen, die Behebung der im Katalog aufgeführten Lücken zu priorisieren. ICS-Administratoren sollten die korrigierte Version ihres jeweiligen Release-Zweigs einspielen.
