Ivanti-Zero-Days: Unternehmen schließt zwei weitere Sicherheitslücken in ICS

Zero-Day-Schwachstellen in Ivanti haben es Angreifern ermöglicht, Connect-Secure-Gateways für den Fernzugriff durch die Kombination von drei Sicherheitslücken zu kompromittieren. Das Unternehmen hat nun zwei weitere Schwachstellen behoben, die mit Angriffen in Verbindung stehen, die mindestens bis zum 1. Oktober 2026 zurückreichen.

Zwei weitere Schwachstellen vervollständigen die Angriffskette

Bei den neu behobenen Schwachstellen handelt es sich um CVE-2026-111357 und CVE-2026-118527. Die erste ermöglicht eine Rechteausweitung mit hohem Schweregrad, während die zweite authentifizierten Angreifern erlaubt, Dateien auf anfällige Geräte hochzuladen. Die Angreifer kombinierten beide mit CVE-2026-104935, einer Schwachstelle zur Umgehung der Authentifizierung, die Ivanti im Oktober behoben hatte.

Zusammen ermöglichten diese Sicherheitslücken Angreifern, ohne Authentifizierung auf Geräte zuzugreifen und Befehle mit Root-Rechten auszuführen. Dadurch stellte die Angriffskette eine größere Bedrohung dar als jede der beiden neu veröffentlichten Schwachstellen für sich genommen. Geräte, auf denen zum Zeitpunkt der ersten Angriffe alle verfügbaren Sicherheitsupdates installiert waren, blieben aufgrund der zuvor unbekannten Schwachstellen weiterhin angreifbar.

Ivanti erklärte, dass sich eine Korrektur für die Authentifizierungsumgehung bereits in der Qualitätssicherung befand, als das Unternehmen die Schwachstelle zur Rechteausweitung entdeckte. Dennoch entschied sich Ivanti, die erste Korrektur zu veröffentlichen, ohne auf die zusätzlichen Updates zu warten. Nach Angaben des Unternehmens bestand die Priorität darin, den wichtigsten Angriffsweg so schnell wie möglich zu schließen.

Angreifer verzichteten auf Malware und manipulierten Protokolldaten

Sicherheitsforscher von Volexity verfolgten die Aktivitäten unter der Kennung UTA0576. Sie beobachteten, dass der Angreifer die Schwachstellen mindestens seit dem 3. Oktober kombinierte. Unterdessen meldete das Bedrohungsanalyseunternehmen Defused Hinweise auf eine Ausnutzung bereits ab dem 1. Oktober.

Anstatt Malware oder eine Webshell zu installieren, nutzte der Angreifer das Gateway für jeden Befehl erneut aus. Diese Vorgehensweise ermöglichte es ihm, ohne die üblichen schädlichen Dateien zu hinterlassen. Darüber hinaus manipulierte der Eindringling Protokolldaten, um seine Aktivitäten zu verbergen.

Laut Volexity gelang es den Angreifern mit diesen Methoden, die Erkennung durch Ivantis Integrity Checker Tool zu umgehen. Die Erkenntnisse verdeutlichen daher eine Herausforderung, die über die Identifizierung schädlicher Software auf einem Netzwerkgerät hinausgeht. Bei dieser Kampagne halfen die wiederholte Ausnutzung der Schwachstellen und die Manipulation von Protokolldaten dem Angreifer, seinen Zugriff zu verschleiern.

Tausende Connect-Secure-Gateways bleiben exponiert

Shadowserver identifizierte mehr als 5.000 Connect-Secure-Instanzen, die über das Internet erreichbar waren. Diese Zahl lässt jedoch keine Rückschlüsse darauf zu, wie viele davon weiterhin anfällig sind. Die verfügbaren Daten zeigen auch nicht, wie viele Administratoren die entsprechenden Sicherheitsupdates bereits installiert haben.

CISA nahm außerdem CVE-2026-104935 in seinen Katalog bekannter aktiv ausgenutzter Schwachstellen, den Known Exploited Vulnerabilities Catalogue, auf und wies US-Bundesbehörden an, die Korrekturen zu installieren. Die Maßnahme der Behörde folgte auf die bestätigte Ausnutzung der Authentifizierungsumgehung. Ivanti hatte Administratoren bereits bei der Veröffentlichung des Oktober-Patches zu einer zeitnahen Aktualisierung aufgefordert.

Die neuesten Updates beheben die beiden verbleibenden öffentlich bekannten Schwachstellen der Angriffskette. Obwohl die frühere Korrektur den wichtigsten Zugangsweg blockierte, schließen die zusätzlichen Updates separate Sicherheitslücken. Administratoren müssen daher zwischen dem ursprünglichen Patch für die Authentifizierungsumgehung und den nachfolgenden Sicherheitsupdates unterscheiden.

Ivanti-Zero-Day-Schwachstellen ziehen weiterhin Angreifer an

Connect-Secure-Gateways waren wiederholt Ziel von Angriffskampagnen, da sie Zugang zu Unternehmensnetzwerken bieten. Frühere Vorfälle betrafen Schwachstellen zur Umgehung der Authentifizierung, zur Befehlsinjektion und zur Remote-Codeausführung. Einige Kampagnen kombinierten zudem mehrere Sicherheitslücken, um Malware zu installieren.

Zu den früheren Fällen gehörten CVE-2025-0282 und CVE-2025-22457, zwei Schwachstellen zur Remote-Codeausführung, die Ivanti im Jahr 2025 behob. Seit November 2021 hat CISA dem Bericht zufolge 38 Schwachstellen in Ivanti-Produkten als aktiv ausgenutzt eingestuft. Davon wurden zwölf auch bei Ransomware-Angriffen eingesetzt.