LONDON (IT BOLTWISE) – Die US-Sicherheitsbehörde CISA fordert Organisationen auf, ihre Ivanti-Connect-Secure-Appliances und Deployments umgehend auf die aktuellste Version zu aktualisieren. Der Auslöser ist eine aktiv ausgenutzte Authentifizierungs-Umgehung mit der Kennung CVE-2026-104935 und einem CVSS-Wert von 8,6. CISA hat die Lücke in den Known Exploited Vulnerabilities-Katalog aufgenommen und setzt für Bundesbehörden eine Frist bis zum 16. Oktober 2026. Betroffene sollen zudem kompromittierte Systeme forensisch prüfen und bei Nachweis konkrete Incident-Response-Schritte wie Reset, Zertifikats- und API-Key-Rotation einleiten.
CISA hat Ivanti Connect Secure als konkreten Sofort-Update-Fall adressiert: Nach der Offenlegung einer aktiv ausgenutzten Schwachstelle sollen betroffene Organisationen ihre ICS-Installationen zeitnah auf die neueste Version bringen. Im Zentrum steht CVE-2026-104935 mit einem CVSS-Score von 8,6. Die Lücke wirkt als Authentication-Bypass und betrifft Ivanti Connect Secure Version 25.1.1.1 und früher, 25.1.2.2 und früher sowie 22.8R2.4 und früher. Daraus folgt ein für die Praxis kritisches Risiko: Ein Angreifer kann sich offenbar ohne gültige Authentifizierung aus der Ferne Zugriff verschaffen und willkürliche Befehle ausführen.
Für die Dringlichkeit ist entscheidend, dass CISA die Schwachstelle inzwischen in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen hat. Damit wird der Fix zeitlich nicht nur als Best Practice, sondern als verbindliche Erwartung gegenüber den Federal Civilian Executive Branch (FCEB)-Behörden eingeordnet. Die genannte Umsetzungsfrist liegt bei 16. Oktober 2026. Diese KEV-Logik ist für Sicherheitsverantwortliche wichtig, weil sie die Priorisierung in Vulnerability-Management-Workflows stark beeinflusst: Sobald eine CVE im KEV-Katalog steht, verschiebt sich die Last häufig weg von „Patchen, wenn möglich“ hin zu „nachweisbar bis zum Stichtag“, inklusive Status-Reports im Betrieb.
Technisch beschreibt CISA die Schwachstelle als Weg zu Remote Code Execution mit unautorisierter Kommandofähigkeit. Genau deshalb ergänzt die Behörde ihre Update-Empfehlung um ein Vorgehen für die Ermittlung möglicher Kompromittierungen: Wer klären will, ob bereits ausgenutzt wurde, soll Netzwerk- und Memory-Forensik durchführen, um Ausnutzungsindikatoren zu finden. Bei einem positiven Nachweis bleibt es nicht bei „nur patchen“, sondern CISA skizziert einen konkreten Maßnahmenkatalog, der mit einem Backup der Appliance-Konfiguration beginnt. Anschließend folgen ein Factory Reset und die Aktualisierung auf die neueste Version; bei Cloud- oder Virtual-Systemen nennt CISA das gezielte Neuanlegen (Rebuild) der virtuellen Instanz und das erneute Upgrade. Danach soll die Konfiguration aus dem Backup zurückgespielt, gleichzeitig jedoch die Authentifizierung neu abgesichert werden.
In diesem zweiten Schritt macht die Behörde deutlich, welche Artefakte ein Angreifer typischerweise nach einem erfolgreichen Zugriff ausnutzt: CISA empfiehlt, Passwörter für alle Konten zu resetten, inklusive Domain-, Administrator- und lokaler Konten. Ebenso sollen gespeicherte Zertifikate widerrufen und neu ausgestellt werden. Zusätzlich fordert CISA, gespeicherte API-Keys zu resetten und die Zugangsdaten zum License-Server neu zu setzen. Das ist nicht nur „Hygiene“, sondern adressiert die reale Angriffsfläche von ICS-Umgebungen: Viele Installationen speichern Zugangsdaten und kryptografische Materialien so, dass ein einmal kompromittierter Zustand späteren Persistenz- und Lateral-Movement-Versuche ermöglicht. Neben den Incident-Response-Schritten kommt ein weiterer Punkt hinzu: Kunden sollen laut CISA auch die Ivanti-Connect-Secure-Upgrade- und Migration-Kompatibilitätsleitfäden konsultieren, wobei Version 22.8 zum 31. Januar 2027 das End-of-Life erreicht.
Die Beobachtungen aus der laufenden Threat Intelligence untermauern, dass die Ausnutzung bereits stattfindet. So berichtet Previdian, man habe bis zum 14. Oktober 2026 insgesamt 105 Exploitation-Versuche gegen Honeypot-Sensoren gesehen. Diese Angriffe sollen von 50 verschiedenen IP-Adressen ausgegangen sein, geolokalisiert zu Singapur und in die USA; als Beispiel nennt der Bericht mehrere IPs im Format 216.73.160.* sowie 45.8.19.*. Laut CEO und Gründer Ryan Dewhurst nutzen die Angreifer dabei den Header X-DSCGI-PATH, um einen internen CGI-Handler anzusprechen und Perl-Skripte hochzuladen, die als ZIP-Dateien getarnt sind. Die Skripte liefern dabei eindeutige Marker zurück, mit denen die Angreifer prüfen, ob Remote Code Execution erfolgreich war.
Auch wenn Dewhurst betont, dass die bisher beobachteten Payloads vor allem Tests auf Code Execution gewesen seien und nicht zwingend darauf abzielten, bereits Malware abzulegen oder Geräte direkt zu kompromittieren, ist der Hinweis für Betreiber klar: Nach den initialen Verifikationsschritten kann „weaponized exploitation“ nachlaufen. Diese Einschätzung passt zu einem separaten Bericht von Volexity, die laut Angaben die Ausnutzung von CVE-2026-104935 bereits am 3. Oktober 2026 erstmals beobachtet haben. Dabei soll ein zuvor undokumentierter Angreifer-Cluster, der intern als UTA0576 bezeichnet wird, die Lücke zusammen mit einer Privilege-Escalation-Schwachstelle kombiniert haben, um unautorisierte Root-Level-Code-Ausführung zu erreichen. Im Anschluss werden breite Post-Exploitation-Aktivitäten beschrieben: Das Extrahieren gespeicherter Credentials auf der ICS-VPN-Appliance, das Ausfiltern begrenzter Active-Directory-Metadaten, das Deployen eines Kerberos-Tools für Kerberoasting sowie Credential-Testing. Daneben werden Host-Reconnaissance, LDAP-Paketaufnahme und das Ablegen eines Python-LDAP-Tools zum Suchen nach Administratorpasswörtern und BitLocker-Recovery-Keys erwähnt.
Für Unternehmen ergibt sich daraus ein realistisches Gesamtbild: Es reicht nicht, die betroffene Ivanti-Instanz nach Release-Plan zu aktualisieren, weil der Angriff bereits in der Wildnis nachweisbar ist und dabei auf eindeutige Taktiken wie Header-Umleitungen und „Probe“-Payloads setzt. Gleichzeitig sollten Security-Teams ihre Maßnahmen so ausrichten, dass sie sowohl präventiv als auch forensisch belastbar sind: Aktualisierung im Sinne von KEV-Deadline und kompatiblem Upgrade-Path, parallel dazu die Fähigkeit, Netzwerk- und Speicherspuren so zu sichern, dass ein späterer Nachweis gelingt. In der Praxis hilft dabei auch die klare Trennung zwischen „Patchen“ und „Kompromissmanagement“: Wenn Credentials, Zertifikate oder API-Keys im Spiel waren, muss der Betrieb so umgestellt werden, dass der Angreifer keine verwertbaren Session- oder Secrets-Spuren mehr findet. Genau diesen Rollenwechsel macht CISA mit dem beschriebenen Ablauf von Backup über Reset bis hin zu Rotation aller relevanten Authentisierungs- und Kryptomaterialien explizit.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA fordert sofortige Updates für Ivanti Connect Secure wegen CVE-2026-104935" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA fordert sofortige Updates für Ivanti Connect Secure wegen CVE-2026-104935" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA fordert sofortige Updates für Ivanti Connect Secure wegen CVE-2026-104935« bei Google Deutschland suchen, bei Bing oder Google News!