Ivanti hat Kunden aufgefordert, einen Sicherheitspatch für eine Zero-Day-Schwachstelle in Ivanti Connect Secure zu installieren, die derzeit aktiv von Angreifern ausgenutzt wird. Die unter CVE-2026-104935 erfasste Schwachstelle zur Umgehung der Authentifizierung ermöglicht es nicht authentifizierten Angreifern, beliebige Befehle auf betroffenen Geräten auszuführen.
Das Unternehmen berichtete von einer begrenzten Ausnutzung, als es das Problem am 13. Oktober öffentlich machte. Unterdessen brachten Sicherheitsforscher die Schwachstelle mit einer Angriffskette in Verbindung, die Root-Zugriff ermöglichte, ohne Malware zu installieren.
Umgehung der Authentifizierung betrifft mehrere Versionen
Ivanti Connect Secure ist ein SSL-VPN-Gateway für Unternehmen, das Mitarbeitern im Homeoffice und externen Auftragnehmern Zugriff auf Unternehmens- und Cloud-Ressourcen ermöglicht.
Die Schwachstelle mit hohem Schweregrad betrifft folgende Versionen:
- ICS 22.8R2.4 und früher.
- ICS 25.1.2.2 und früher.
- ICS 25.1.1.1 und früher.
Angreifer benötigen weder bestehende Berechtigungen noch eine Benutzerinteraktion, um die Sicherheitslücke auszunutzen. Darüber hinaus beschreibt Ivanti die Angriffe als wenig komplex.
Das Unternehmen empfahl betroffenen Kunden, die korrigierte Version umgehend zu installieren und das Integrity Checker Tool regelmäßig auszuführen. Sicherheitsforscher stellten jedoch fest, dass die beobachteten Angreifer dieses Tool umgehen konnten.
Angreifer kombinierten drei Schwachstellen, um Root-Zugriff zu erlangen
Volexity entdeckte und meldete die Zero-Day-Schwachstelle in Ivanti Connect Secure während der Untersuchung von Aktivitäten, die einer zuvor unbekannten Gruppe namens UTA0576 zugeschrieben wurden.
Den Erkenntnissen zufolge kombinierte die Gruppe CVE-2026-104935 mit zwei weiteren Schwachstellen, um ohne Authentifizierung Code mit Root-Rechten auszuführen. Die Angriffe waren gegen Geräte erfolgreich, die zum damaligen Zeitpunkt vollständig gepatcht waren.
Volexity konnte die Aktivitäten bis mindestens zum 3. Oktober zurückverfolgen. Unabhängig davon berichtete das Threat-Intelligence-Unternehmen Defused, bereits am 1. Oktober eine Ausnutzung beobachtet zu haben.
Zum Zeitpunkt der Offenlegung hatte Ivanti zwei der an der Angriffskette beteiligten Schwachstellen behoben. Das Unternehmen arbeitete jedoch noch an einem Patch für die Schwachstelle zur Rechteausweitung, die von den Angreifern ebenfalls genutzt wurde.
Wiederholte Ausnutzung half Angreifern, unentdeckt zu bleiben
Anstatt Malware oder eine Webshell zu installieren, nutzte UTA0576 die Schwachstelle auf dem Gerät für jeden ausgeführten Befehl erneut aus.
Die Gruppe manipulierte außerdem Protokolldateien, um ihre Aktivitäten zu verbergen. Laut Volexity konnte sie mit dieser Methode das Integrity Checker Tool von Ivanti umgehen.
Diese Erkenntnisse verdeutlichen die Grenzen einer ausschließlichen Abhängigkeit von Integritätsprüfungen. Obwohl Ivanti empfiehlt, das Tool regelmäßig auszuführen, konnte die beobachtete Angriffsmethode ein kompromittiertes Gerät hinterlassen, ohne die Malware-Artefakte zu erzeugen, die solche Prüfungen möglicherweise erkennen würden.
Tausende Connect-Secure-Geräte weiterhin im Internet erreichbar
Shadowserver erfasste zum Zeitpunkt der Offenlegung mehr als 5.500 über das Internet erreichbare Connect-Secure-Instanzen.
Diese Zahl lässt jedoch keine Rückschlüsse darauf zu, wie viele Geräte weiterhin anfällig waren. Die verfügbaren Daten unterschieden nicht zwischen gepatchten Systemen und ungepatchten Geräten. Ebenso wenig ging daraus hervor, wie viele Instanzen Honeypots waren.
Ivanti erklärte, direkt mit betroffenen Organisationen zusammenzuarbeiten und gleichzeitig anderen Kunden Updates sowie Informationen zu Abhilfemaßnahmen bereitzustellen.
Connect Secure wiederholt Ziel von Angriffen
Die jüngsten Angriffe folgen auf mehrere frühere Vorfälle im Zusammenhang mit Schwachstellen in Connect Secure.
Im Januar 2024 behob Ivanti eine Schwachstelle zur Umgehung der Authentifizierung, CVE-2023-46805, sowie eine Schwachstelle zur Befehlsinjektion, CVE-2024-21887. Später im selben Monat schloss das Unternehmen außerdem die Server-Side-Request-Forgery-Schwachstelle CVE-2024-21893.
Weitere Vorfälle folgten im Jahr 2025. Ivanti behob CVE-2025-0282 im Januar und schloss anschließend CVE-2025-22457, eine Schwachstelle, die mit China in Verbindung stehende Spionageakteure seit mindestens Mitte März ausgenutzt hatten.
Zum Zeitpunkt der jüngsten Offenlegung hatte CISA seit November 2021 insgesamt 36 aktiv ausgenutzte Schwachstellen in verschiedenen Ivanti-Produkten katalogisiert. Die Behörde brachte außerdem 12 dieser Schwachstellen mit Ransomware-Kampagnen in Verbindung.
Betroffenen Connect-Secure-Kunden empfiehlt Ivanti dringend, die Sicherheitshinweise zu prüfen und zeitnah ein Upgrade durchzuführen. Administratoren sollten zudem die gemeldeten Einschränkungen bei der Angriffserkennung sowie den noch ausstehenden Patch für die Schwachstelle zur Rechteausweitung berücksichtigen.
0 Kommentare zu „Zero-Day-Schwachstelle in Ivanti Connect Secure wird bei laufenden Angriffen ausgenutzt“