Ivanti Connect Secure: Zero-Day stiehlt AD-Zugangsdaten, Patch jetzt Pflicht

Wer Ivanti Connect Secure (ICS) als SSL-VPN betreibt, sollte heute den Versionsstand prüfen und die Appliance aktualisieren. Die Schwachstelle CVE-2026-104935 erlaubt ohne Anmeldung das Ausführen von Befehlen auf dem VPN-Gateway. Seit dem 14. Oktober 2026 registrieren Honeypots zudem breite Ausnutzungsversuche, und ein öffentliches Scanner-Template ist verfügbar. Die von CISA gesetzte Patch-Frist für US-Bundesbehörden endet am 16. Oktober 2026.

Betroffen sind ICS 25.1.1.1 und älter, 25.1.2.2 und älter sowie 22.8R2.4 und älter. Nicht betroffen sind laut Ivanti ICS 22.7R2.14 und älter sowie die neue Plattform ab 25.1.3.0. Wer kein Connect Secure einsetzt, muss nicht handeln. Brisant ist das Ziel der Angreifer: Sie haben im untersuchten Fall gezielt Active-Directory-Zugangsdaten, LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel abgegriffen. Ein reines Update reicht deshalb nicht, wenn das Gerät bereits vor dem Patch erreichbar war. Hintergrund zu einer früheren aktiv ausgenutzten Ivanti-Lücke in einem anderen Produkt liefert der S-EDV-Bericht zu Ivanti Sentry CVE-2026-10520.

Was ist passiert?

Ivanti hat am 13. Oktober 2026 ein Advisory zu CVE-2026-104935 veröffentlicht und spricht von Ausnutzung bei einer begrenzten Zahl von Kunden. Entdeckt hat die Angriffskette das Sicherheitsunternehmen Volexity bei einem Kunden, dessen VPN-Gateway mit Version 22.8R2.4 zum damaligen Zeitpunkt vollständig gepatcht war. Laut Volexity begann die Ausnutzung am 3. Oktober 2026 durch eine bislang unbekannte Gruppe, die als UTA0576 geführt wird. CISA hat die Lücke noch am 13. Oktober in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen.

Neu seit dem 14. Oktober ist die Lage außerhalb gezielter Einzelangriffe. Der Dienst Previdian meldet für den 14. und 15. Oktober insgesamt 120 Ausnutzungsversuche gegen seine Sensoren von 58 verschiedenen IP-Adressen aus fünf Ländern, darunter Deutschland. Im Repository von ProjectDiscovery ist seit dem 14. Oktober ein Nuclei-Template zur Erkennung der Lücke verfügbar. Angreifbare Geräte lassen sich damit automatisiert finden. watchTowr erwartet laut The Hacker News bald wahllose Massenausnutzung.

Wie funktioniert der Angriff?

Volexity beschreibt eine Kette aus drei Schwachstellen. Zwei davon fasst Ivanti unter CVE-2026-104935 zusammen, die dritte ist noch nicht behoben:

• Umgehung der Anmeldung: Eine Anfrage an die öffentliche Login-Seite /dana-na/auth/url_default/welcome.cgi enthält den Header X-DSCGI-PATH, der intern auf ein geschütztes CGI-Skript umleitet.
• Codeausführung: Über den Upload-Handler wu.cgi landet ein als ZIP getarntes Perl-Skript kurz auf der Platte und wird in einem Wettlauf vor dem Löschen ausgeführt, zunächst als Benutzer cgi-server.
• Rechteausweitung auf root: Der Dienst dsinvoked vertraut manipulierten Daten im Konfigurationsspeicher DSCache. Für diesen Teil gibt es laut Volexity noch keinen Fix, Ivanti arbeitet an einem Update für die kommenden Wochen.

Technisch ist das eine Remote Code Execution ohne Anmeldung auf einem Gerät, das direkt am Internet hängt. Die Angreifer installierten keine Webshell, sondern nutzten die Kette für jeden Befehl erneut, arbeiteten im Arbeitsspeicher und löschten Einträge aus /home/runtime/dlogs/debuglog und /var/log/audit/audit.log. Das Integrity Checker Tool von Ivanti erkennt diese Kompromittierung laut CISA und Volexity unter Umständen nicht.

Wer ist betroffen und wer nicht?

• Betroffen: ICS 25.1.1.1 und älter, 25.1.2.2 und älter sowie 22.8R2.4 und älter, physisch, virtuell und in der Cloud.
• Behoben in: 25.1.1.2 (seit 5. Oktober), 25.1.3.0 und 25.1.3.1 sowie 22.8R2.5 (seit 12. Oktober).
• Nicht betroffen: ICS 22.7R2.14 und älter sowie 25.1.3.0 und neuer. Für 25.1.3.0 ist die neue Hardware ISA4500, ISA6500 oder ISA8500 beziehungsweise ein neues virtuelles Template nötig.
• Nicht Teil des Advisorys: andere Ivanti-Produkte. Das Advisory nennt ausschließlich Connect Secure.

Die Linien 22.7 und 22.8 erreichen am 31. Januar 2027 ihr Supportende.

Wie kritisch ist das?

Ivanti bewertet CVE-2026-104935 mit CVSS 8.6 (hoch). Für betroffene Versionen ist die Lage trotzdem akut: Die Ausnutzung erfolgt ohne Anmeldung aus dem Internet, ist durch CISA, Volexity und Honeypot-Daten belegt, und ein Erkennungs-Template ist öffentlich. Hinzu kommt, dass die Rechteausweitung auf root offen bleibt. Ein Patch schließt den Einstieg, beseitigt aber keine bereits erfolgte Kompromittierung. Unsicher ist, wie viele Organisationen erfolgreich angegriffen wurden. Laut The Hacker News testen die erfassten Anfragen bisher vor allem die Codeausführung.

Was sollten Admins jetzt tun?

• Inventar prüfen: Version jeder ICS-Appliance im Admin-Interface oder im Lizenzportal ablesen und gegen die betroffenen Stände abgleichen.
• Patchen: auf 25.1.1.2 oder 25.1.3.x aktualisieren, als Zwischenlösung für 22.8 auf 22.8R2.5. Die Kompatibilitätshinweise von Ivanti zur Migration auf 25.x beachten.
• Logs auf Spuren durchsuchen: vorgelagerte Reverse Proxies, WAF oder Firewall-Logs nach Anfragen mit dem Header X-DSCGI-PATH an welcome.cgi auswerten. Die Logs der Appliance selbst gelten als unzuverlässig.
• Active Directory prüfen: Anmeldungen und LDAP-Abfragen des Dienstkontos, das die Appliance nutzt, auf ungewöhnliche Suchen nach LAPS- und BitLocker-Informationen, Kerberoasting und Passwort-Spraying kontrollieren.
• Bei Verdacht nach CISA-Vorgabe vorgehen: Konfiguration sichern, Werksreset und Update durchführen, virtuelle Instanzen neu aufbauen, Konfiguration zurückspielen.
• Geheimnisse wechseln: Passwörter von Domänen-, Administrator- und lokalen Konten zurücksetzen, gespeicherte Zertifikate widerrufen und neu ausstellen, API-Schlüssel und Zugangsdaten zum Lizenzserver erneuern.
• LAPS-Passwörter und BitLocker-Schlüssel rotieren, wenn das Dienstkonto Lesezugriff darauf hatte.
• Forensik einplanen: CISA verweist auf Netzwerk- und Speicherforensik, weil Spuren auf der Platte fehlen können.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die Lücke vor allem wegen des Folgeschadens gefährlich. Das VPN-Gateway hält oft ein Dienstkonto mit Lesezugriff auf das Active Directory. Wer dieses Konto übernimmt, kommt an lokale Administratorpasswörter und Wiederherstellungsschlüssel und damit an deutlich mehr als nur das VPN. Ein Dienstkonto mit minimalen Rechten, ohne Lesezugriff auf LAPS- und BitLocker-Attribute, begrenzt diesen Schaden. Die Migration auf die unterstützte 25.1-Linie sollte zudem nicht bis Januar 2027 warten.

Passende Anleitungen auf S-EDV

• Cybervorfall: die ersten Stunden und Spuren sichern, hilfreich, wenn die Appliance kompromittiert sein könnte.
• Windows LAPS mit Entra ID und Intune, für das Rotieren lokaler Administratorpasswörter.
• BitLocker ausrollen und Recovery-Keys verwalten, für den Umgang mit möglicherweise abgeflossenen Schlüsseln.
• VPN-Gateway-Lücken im Sommer 2026, als Überblick über die Angriffslage bei VPN-Appliances.

Quellen

• Ivanti: Security Advisory Ivanti Connect Secure (CVE-2026-104935), 13.10.2026
• CISA: Warnung zur ausgenutzten Lücke in Ivanti Connect Secure, 13.10.2026
• Volexity: Analyse der Angriffskette von UTA0576, 13.10.2026
• Previdian: Sensordaten zu CVE-2026-104935, Stand 16.10.2026
• ProjectDiscovery: Nuclei-Template zu CVE-2026-104935, 14.10.2026
• The Hacker News: Bericht zu CISA-Warnung und Honeypot-Daten, 14.10.2026
• Borns IT- und Windows-Blog: 0-Day-Exploit zum Diebstahl von AD-Anmeldedaten, 15.10.2026