LONDON (IT BOLTWISE) – Die US-Behörde CISA hat zwei Ivanti-Connect-Secure-Lücken in den KEV-Katalog aufgenommen, nachdem Angriffe in der Praxis ausgenutzt wurden. In einer dokumentierten Exploit-Kette kombinieren Täter fehlende Authentifizierung, Vorhersagbarkeit bei Identifikatoren und eine weitere Schwachstelle, um Root-Level-Code auszuführen. Betroffen sind insbesondere Systeme, die nicht auf die genannten Fix-Versionen aktualisiert wurden. Für Behörden mit FCEB-Zuständigkeit gelten enge Fristen bis Anfang bzw. Mitte November 2026.
Im Kern geht es um eine besonders riskante Angriffslogik: Nicht eine einzelne Ivanti-Connect-Secure-Schwachstelle entscheidet über das Ergebnis, sondern die Kombination mehrerer Fehler entlang einer Kette. Die US-Behörde CISA hat dafür zwei Lücken in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, weil sie nach ihren Angaben bereits aktiv ausgenutzt werden. Damit rückt das Thema von einem reinen Patch-Thema in Richtung akuter Betriebsgefahr: Wer nur isoliert einzelne CVEs adressiert, kann trotzdem in eine übergreifende Exploit-Chain laufen.
Die erste der nun in den KEV-Katalog aufgenommenen Schwachstellen trägt die Kennung CVE-2026-111357 und bekommt einen CVSS-Wert von 8,8. Beschrieben wird dabei eine fehlende Authentifizierung für eine kritische Funktion, die laut der öffentlichen Einordnung das Privileg-Setup eskalieren kann. Die zweite Lücke, CVE-2026-118527, liegt mit einem CVSS-Wert von 4,3 „tiefer“, wird aber als Voraussetzung für einen weiteren Schritt im Ablauf genutzt: Angreifer können demnach über vorhersagbare Zahlen oder Identifier Dateien mit angesteuertem Inhalt an einen bekannten Speicherort hochladen. Gerade diese Mischung ist technisch schwer abzufangen, weil die zweite Schwäche häufig als „Transport- oder Platzhalter“ fungiert, der den eigentlichen Payload-Plan vorbereitet.
Entscheidend ist der Kontext der Kette: Die öffentliche Beschreibung ordnet die beiden KEV-Lücken in eine Exploit-Sequenz ein, die bereits zuvor zusammen mit einer Authentifizierungsumgehung (CVE-2026-104935, CVSS 8,6) dokumentiert wurde. In dieser Kombination kommen laut der technischen Einordnung mehrere Klassen zusammen – Authentifizierungsbypass, Remote Code Execution und Privilege Escalation –, wodurch am Ende unauthentifizierter Root-Level-Zugriff möglich wird. Auffällig ist auch das Vorgehensmuster: Statt ausschließlich typische Artefakte wie Web-Shells oder klassische Malware zu platzieren, wurde die Methode genutzt, um Zugangsdaten und begrenzte Active-Directory-Metadaten auszulesen. Danach folgt Host-Reconnaissance, und die Angreifer suchen gezielt nach Administrator-Passwörtern sowie nach BitLocker-Recovery-Keys.
Für Betreiber stellt sich damit weniger die Frage „Ist ein einzelner Patch schon installiert?“ als vielmehr „Welche Teile der Kette sind noch angreifbar?“. Ivanti gab an, dass man zum Zeitpunkt der öffentlichen Offenlegung an Fixes für die eingesetzte Privilege-Escalation-Lücke arbeitete, und dass Patches für beide zuletzt nach KEV nachgezogenen Schwächen inzwischen verfügbar sind. Konkret werden für Ivanti Connect Secure Versionen wie 25.1.1.2 und älter (Fix in 25.1.1.3) sowie 22.8R2.5 und älter (Fix in 22.8R2.6) genannt. Gleichzeitig wird beschrieben, dass bereits bei Entdeckung der Ausnutzung ein Fix für die Authentifizierungsumgehung in QA für unterstützte Versionen vorlag und man bewusst darauf verzichtete, den Kundenrelease-Fahrplan zu verzögern, als die LPE im Ablauf erkannt wurde.
Aus Markt- und Betriebslogik folgt daraus eine klare Priorisierung: Wenn eine Plattform wie Connect Secure im Angriffswurf als zentraler Einstieg dient, reicht ein reiner „Vulnerability-Score“-Blick oft nicht aus. Gerade weil CISA für CVE-2026-111357 und CVE-2026-118527 konkrete Fristen für Bundesbehörden des Federal Civilian Executive Branch nennt, ist die Patch-Planung eng getaktet: FCEB-Organisationen müssen demnach CVE-2026-111357 bis zum 2. November 2026 anwenden und CVE-2026-118527 bis zum 13. November 2026. Für andere Unternehmen bedeutet das faktisch die gleiche Lehre, nur ohne formale Auflage: Wer Updates zurückstellt, verlängert die Zeit, in der eine Angriffskette bereits „nachweisbar“ funktioniert.
Technisch hilft im Nachgang auch ein Blick auf die Verteidigungsseite: Die Ausnutzung über fehlende Authentifizierung für eine kritische Funktion sowie das Hochladen von Dateien an bekannte Speicherziele lassen sich nicht einfach durch „Härtung um ein Detail“ kompensieren. Betreiber sollten daher nicht nur die genannten Fix-Versionen einspielen, sondern auch prüfen, ob sich Spuren des beschriebenen Workflows finden lassen, etwa ungewöhnliche Bereitstellungen, Credential-Dumping-nahe Aktivitäten oder Indizien für BitLocker-Key-Exfiltration. In der Praxis wird genau hier die Angriffszeit wertvoll: Je schneller die Kette unterbrochen wird, desto geringer wird die Chance, dass der nächste Schritt auf bereits vorbereitete Rechte und Artefakte aufsetzt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ivanti Connect Secure: Angreifer kaskadieren KEV-Lücken bis zu Root-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ivanti Connect Secure: Angreifer kaskadieren KEV-Lücken bis zu Root-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ivanti Connect Secure: Angreifer kaskadieren KEV-Lücken bis zu Root-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!