Ivanti Connect Secure: Zwei weitere ausgenutzte Lücken gepatcht

Ivanti hat am 29. Oktober 2026 zwei weitere Lücken in Connect Secure geschlossen, die Angreifer zusammen mit der im Oktober bekannt gewordenen Zero-Day-Lücke CVE-2026-104935 ausgenutzt haben. Einen Tag später nahm die US-Behörde CISA beide Schwachstellen, CVE-2026-111357 und CVE-2026-118527, in ihren Katalog aktiv ausgenutzter Lücken (KEV) auf. Die korrigierten Versionen heißen 25.1.1.3 und 22.8R2.6.

Betroffen sind Betreiber von Ivanti Connect Secure (ICS) auf den Codezweigen 25.1.1 und 22.8. Wer nach dem Patch vom 13. Oktober auf 25.1.1.2 oder 22.8R2.5 aktualisiert hat, ist damit nicht fertig: Diese Stände enthalten die beiden jetzt geschlossenen Lücken noch. Das Update gehört nicht ins nächste Wartungsfenster, sondern sollte sofort eingespielt werden, bei Verdacht auf einen Einbruch erst nach Sicherung der Spuren.

Was ist passiert?

Volexity hatte am 13. Oktober eine Angriffskette gegen ein damals vollständig gepatchtes Gerät mit Version 22.8R2.4 beschrieben (S-EDV berichtete). Die Gruppe, die Volexity als UTA0576 führt, kombinierte eine Authentifizierungsumgehung, das Ablegen einer Datei und eine Rechteausweitung auf root. Ivanti lieferte zunächst nur den Fix für CVE-2026-104935, weil dieser bereits in der Qualitätssicherung war. Die übrigen Glieder der Kette blieben offen.

Laut aktualisiertem Ivanti-Advisory vom 29. Oktober ist CVE-2026-111357 eine fehlende Authentifizierung für eine kritische Funktion, über die ein lokal angemeldeter Angreifer seine Rechte ausweiten kann (CVSS 8.8). CVE-2026-118527 erlaubt durch vorhersagbare Dateinamen das Hochladen von Dateien mit eigenem Inhalt an einen bekannten Ort auf der Festplatte (CVSS 4.3). Ivanti bestätigt Angriffe auf eine begrenzte Zahl von Kunden, bei denen alle drei Lücken verkettet wurden.

Wer ist betroffen?

Nach Ivanti sind für die beiden neuen Lücken Connect Secure 25.1.1.2 und älter sowie 22.8R2.5 und älter anfällig. Versionen 22.7.x und älter enthalten die Lücke laut Advisory nicht. Für Geräte der Linie 25.1.3 (Plattformen ISA4500, ISA6500, ISA8500) nennt Ivanti 25.1.3.0 und neuer als nicht betroffen. Ivanti Policy Secure und andere Produkte führt das Advisory nicht auf.

Wie kritisch ist das?

Sehr kritisch. Zusammen mit CVE-2026-104935 erreichen Angreifer ohne Anmeldung Befehlsausführung als root auf dem VPN-Gateway. Volexity beobachtete, wie die Angreifer im Gerät hinterlegte Domänenzugangsdaten nutzten, um im Active Directory nach LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln zu suchen. Die Kette verändert Bibliothekscode nur im Speicher, stellt Konfigurationsdaten wieder her und löscht Einträge aus Debug- und Audit-Log. Das Integrity Checker Tool von Ivanti erkennt das nach Volexity nicht, auch die CISA warnt davor. Für US-Bundesbehörden gilt bei CVE-2026-111357 eine Frist bis 2. November samt forensischer Prüfung, bei CVE-2026-118527 bis 13. November.

Was sollten Admins jetzt tun?

• Inventar prüfen: Auf welchen Connect-Secure-Knoten läuft welche Version, und welche liegen auf 25.1.1.2, 22.8R2.5 oder älter?
• Auf 25.1.1.3 beziehungsweise 22.8R2.6 aktualisieren. Die Pakete stehen im Ivanti License System (ILS) bereit.
• Bei Verdacht vor dem Neustart Spuren sichern, denn die Belege liegen vor allem im Arbeitsspeicher. Die CISA verlangt bei Verdacht Netzwerk- und Speicherforensik.
• Logs von Proxy, Load Balancer und WAF auf auffällig viele Anfragen an /dana-na/auth/url_default/welcome.cgi prüfen. Volexity empfiehlt, auf Abweichungen zwischen URL-Pfad und dem Header X-DSCGI-PATH zu achten und das Verzeichnis /tmp/ zu kontrollieren.
• Bei Kompromittierung nach CISA: Konfiguration sichern, Werksreset und Update, virtuelle Instanzen neu aufbauen, alle Passwörter zurücksetzen, Zertifikate und API-Schlüssel neu ausstellen.
• Den Wechsel von 22.8 auf 25.1 planen: Ivanti beendet den Support für 22.7 und 22.8 am 31. Januar 2027.

Einordnung für Unternehmen

Der Fall zeigt, dass ein schnell eingespielter Notfallpatch nicht das Ende eines Vorfalls ist. Wer am 13. Oktober aktualisiert hat, betrieb zwei Wochen lang ein Gerät mit offenen Teilen derselben Kette. VPN-Gateways speichern Dienstkonten mit Zugriff auf das Verzeichnis, ein Einbruch dort führt schnell ins interne Netz. Unternehmen sollten Rechte dieser Dienstkonten eng begrenzen, Lesezugriffe auf sensible AD-Attribute protokollieren und Gateway-Logs außerhalb des Geräts speichern, damit gelöschte Einträge nachvollziehbar bleiben.

Passende Anleitungen auf S-EDV

• Cybervorfall: Die ersten Stunden und Spuren sichern
• Windows LAPS mit Entra ID und Intune für lokale Adminpasswörter
• BitLocker ausrollen und Recovery Keys verwalten

Quellen

• Ivanti: Security Advisory Ivanti Connect Secure (CVE-2026-104935), Update vom 29. Oktober 2026
• CISA: Adds Two Known Exploited Vulnerabilities to Catalog (30. Oktober 2026)
• CISA: Urges Patching Newly Exploited Vulnerabilities in Ivanti Connect Secure (Update 30. Oktober)
• Volexity: Chained Exploitation of Ivanti Connect Secure Zero-Days
• Canadian Centre for Cyber Security: Ivanti security advisory AV26-1035