Ivanti warnte Kunden am 13. Oktober 2026, dass Angreifer eine Kette aus drei Schwachstellen gegen VPN-Appliances der Serie Connect Secure ausnutzen. Die Kette kann eine nicht authentifizierte Codeausführung mit Root-Rechten ermöglichen, während die abschließende Komponente zur Rechteerweiterung noch nicht gepatcht ist.
Ivanti erklärte, die Ausnutzung habe zum Zeitpunkt der Offenlegung eine „begrenzte Anzahl von Kunden“ betroffen, nannte jedoch keine genaue Zahl. Volexity entdeckte die Aktivität bei der Untersuchung eines Einbruchs bei einem Kunden und verfolgt den bisher nicht dokumentierten Bedrohungsakteur unter der Bezeichnung UTA0576.
CISA nahm CVE-2026-104935 am 13. Oktober 2026 in den Katalog der bekannt ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) auf. Damit bestätigte die Behörde, dass die Lücke in Angriffen genutzt wird und kein rein theoretisches Risiko darstellt.
Drei Schwachstellen verwandeln Fernzugriff in Root-Ausführung
Der Angriff kombiniert eine Authentifizierungsumgehung, Remote Code Execution und eine Schwachstelle zur Rechteerweiterung. Laut dem Bericht über Volexitys Untersuchung werden die Authentifizierungsumgehung und die Codeausführung gemeinsam als CVE-2026-104935 geführt. Sie ermöglichen einem entfernten Angreifer ohne Zugangsdaten oder Benutzerinteraktion, Befehle als Benutzer cgi-server auszuführen.
Der dritte Zero-Day hebt diese Rechte anschließend auf Root-Niveau an. Ivanti hat die ersten beiden Komponenten gepatcht, erklärte jedoch, dass der Fix für die Rechteerweiterung mit „einem zukünftigen Release in den kommenden Wochen“ erscheinen werde.
CVE-2026-104935 hat einen CVSS-v3.1-Wert von 8,6 (hoch) mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. Die Schwachstelle ist als CWE-290, Authentifizierungsumgehung durch Spoofing, eingestuft. Der über das Netzwerk erreichbare Angriffspfad mit geringer Komplexität erfordert weder vorherige Berechtigungen noch eine Aktion des Benutzers.
Der Schweregrad misst technische Eigenschaften. Die Aufnahme in den KEV-Katalog und Ivantis Meldung liefern hingegen eigene Belege dafür, dass die Ausnutzung aktiv erfolgt.
Betroffene Versionen und eine umstrittene Versionsgrenze
Laut NVD-Beschreibung sind Connect-Secure-Versionen vor 25.1.3.0 verwundbar, wobei ICS 22.7R2.14 und frühere ausdrücklich ausgenommen sind. Dem CVE-Eintrag zufolge sind außerdem folgende Versionen nicht betroffen:
- 22.8R2.5
- 25.1.3.0
- 25.1.3.1
Laut SecurityWeek hat Ivanti folgende Versionen als behoben identifiziert:
- 22.8R2.5
- 25.1.1.2
- 25.1.3.0
- 25.1.3.1
Der Status von 25.1.1.2 ist anhand der verfügbaren Versionsdaten unklar. Die Version erscheint in der von Ivanti genannten Liste behobener Versionen, liegt aber unter dem NVD-Schwellenwert 25.1.3.0 und fehlt in der berichteten Liste nicht betroffener Versionen des CVE-Eintrags. Administratoren sollten ihren Status daher nicht allein aus einem der beiden Bereiche ableiten.
Die von Volexity kompromittierte Appliance lief auf Version 22.8R2.4 und wurde zu diesem Zeitpunkt als vollständig gepatcht beschrieben. Die Berichte erklären nicht, wie sich diese Beschreibung zu dem später genannten Fix 22.8R2.5 verhält.
Angreifer zielten auf Zugangsdaten und Verzeichnisdaten
Volexity fand Hinweise auf eine Ausnutzung ab dem 3. Oktober. Bei dem untersuchten Vorfall stahlen die Angreifer auf der Appliance gespeicherte Zugangsdaten, darunter LDAP-Domänenzugangsdaten, und entfernten eine begrenzte Menge an Active-Directory-Metadaten.
Zu den Aktionen nach der Ausnutzung gehörten:
- Suche in Active Directory nach LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln mit einem eigenen Tool
- Password Spraying gegen Konten
- Test von Zugangsdaten über ein eigenes Kerberos-Hilfsprogramm
- Versuch, Zugangsdaten aus mitgeschnittenem Netzwerkverkehr zurückzugewinnen
- Scan des internen Netzwerks
- Sammeln von Konfigurationsdaten der Appliance
- Auswertung von Authentifizierungsprotokollen auf gültige Benutzernamen
- Manipulation von Protokollen
Berichten zufolge führten die Angreifer die vollständige Exploit-Kette für jeden Befehl erneut aus. Volexity fand keine dauerhafte Backdoor und keine Web-Shell auf der Appliance. Mit hoher Zuverlässigkeit stufte Volexity die Aktivität jedoch so ein, dass sie auf laterale Bewegung und eine breitere Kompromittierung des Netzwerks vorbereitet wurde. Die Operation wurde unterbrochen, bevor ihr eigentliches Ziel erkennbar wurde.
Volexity stufte mit geringer Sicherheit ein, dass UTA0576 finanziell motiviert ist und nicht Spionage betreibt. Separat stufte Volexity mit mittlerer Sicherheit ein, dass der Akteur bei der Exploit-Entwicklung und der Nachausnutzung große Sprachmodelle einsetzt.
Integritätsprüfungen erkennen den Einbruch möglicherweise nicht
Der Exploit verändert Bibliothekscode im Arbeitsspeicher und stellt Konfigurationsdaten nach den Änderungen wieder her. Dieses Verhalten kann verhindern, dass Ivantis Integrity Checker Tool die Kette erkennt, obwohl Ivanti Kunden empfiehlt, das Tool regelmäßig auszuführen.
Zu den Indikatoren aus dem von Volexity untersuchten Vorfall gehören:
- Wiederholte Anfragen an
/dana-na/auth/url_default/welcome.cgi - Ein
X-DSCGI-PATH-Header, dessen Wert nicht mit dem angefragten URL-Pfad übereinstimmt - Das Verzeichnis
/data/.icscap/ - Die IP-Adresse
108[.]165[.]147[.]64
Diese Indikatoren beschreiben einen untersuchten Einbruch und sollten nicht als vollständige Erkennungsregel verstanden werden. Volexity zufolge ist für die Bestätigung einer Kompromittierung eine forensische Untersuchung erforderlich, einschließlich Netzwerk- und Speicheranalyse.
Schnell aktualisieren und auf früheren Zugriff prüfen
Ivanti rät Kunden mit betroffenen Versionen, auf eine behobene Version zu aktualisieren und das Integrity Checker Tool regelmäßig auszuführen. Da die beobachtete Kette dieses Tool umgehen kann, sollten auch Appliances, die während des Ausnutzungszeitraums exponiert waren, einer forensischen Triage unterzogen werden. Ein unauffälliges Ergebnis der Integritätsprüfung allein reicht nicht aus.
Das Update behebt die Komponenten zur Authentifizierungsumgehung und zur Remote Code Execution. Die gesonderte Schwachstelle zur Rechteerweiterung wartet weiterhin auf einen Herstellerfix. Die verfügbaren Berichte belegen jedoch nicht, ob sie nach dem Patchen der ersten beiden Schwachstellen noch ausnutzbar ist.
CISA verlangt von den betroffenen US-Bundesbehörden, CVE-2026-104935 bis zum 16. Oktober 2026 zu beheben. Die vorgeschriebene Maßnahme besteht darin, Herstellerschutzmaßnahmen anzuwenden und dabei BOD 26-04 Prioritizing Security Updates Based on Risk sowie CISAs Forensics Triage Requirements einzuhalten. Für anwendbare Cloud-Dienste müssen die Behörden BOD 26-04 befolgen. Sind keine Gegenmaßnahmen verfügbar, weist CISA sie an, die Nutzung des Produkts einzustellen.
Diese Frist gilt für die betroffenen Bundesbehörden, nicht für jeden Betreiber von Connect Secure. Für andere Organisationen haben die aktive Ausnutzung, der nicht authentifizierte Einstiegspunkt aus dem Netz und der mögliche Zugriff auf Domänenzugangsdaten schnelles Aktualisieren und eine Prüfung auf Kompromittierung als vorrangige Maßnahmen.
