LONDON (IT BOLTWISE) – Eine real beobachtete Angreiferkette in Ivanti Connect Secure kombiniert drei Zero-Days zu Root-Zugriff ohne Login. Laut Volexity hat der Angriff bereits im Feld stattgefunden, während für zwei Schwachstellen inzwischen Patches verfügbar sind. Der dritte Fix für die Privilege-Eskalation soll erst in einer späteren Version folgen. Für betroffene Installationen steht damit die kurzfristige Aktualisierung im Vordergrund, plus eine forensische Prüfung bei Kompromissverdacht.
Bei Ivanti Connect Secure zeigt sich, wie schnell aus einzelnen Schwachstellen eine echte Systemkompromittierung werden kann: Laut Volexity hat ein Angreifer eine Kette aus drei Zero-Days genutzt, um Befehle mit Root-Rechten auszuführen, ohne sich am Gerät anmelden zu müssen. Der Vorfall wurde auf einem Kunden-Setup entdeckt, das zum Zeitpunkt des Angriffs bereits vollständig gepatcht war: Es lief Version 22.8R2.4. Volexity datiert den Beginn der Ausnutzung auf den 3. Oktober und beschreibt den Angreifer als UTA0576. Ivanti bestätigte am 13. Oktober „limited exploitation in the wild“ und lieferte Patches für zwei der drei Lücken.
Technisch betrachtet setzt die Attacke auf eine Abfolge aus erstem Zugriff, dann Codeausführung und anschließendem Rechtegewinn. Die ersten beiden Fehler sind zusammen als CVE-2026-104935 katalogisiert: Dabei handelt es sich um einen Authentication Bypass und eine Remote-Code-Execution-Lücke. Mit dieser Kombi kann der Angreifer Code im Kontext des cgi-server-Users ausführen, also ohne eine klassische Nutzeranmeldung auf der VPN-Appliance. Die dritte Schwachstelle ist eine Privilege-Eskalation; erst sie hebt die Rechte bis auf Root. Volexity beschreibt außerdem, dass die Meldung für den dritten Schritt noch auf einen „future release“ wartet, die konkrete Risikohöhe auf einem System, auf dem die ersten beiden Lücken bereits geschlossen sind, blieb aber offen.
Für Administratoren ist in solchen Fällen entscheidend, ob der Patch-Status wirklich zum betroffenen System passt. Der im CVE-Eintrag genannte Versionsumfang zeichnet ein klares Bild: „Affected“ sind Connect-Secure-Versionen vor 25.1.3.0. Als „Not affected“ wird 22.7R2.14 oder älter genannt; zudem führt die Liste als „unaffected“ explizit 22.8R2.5 sowie 25.1.3.0 und 25.1.3.1 auf. Gleichzeitig ordnet Volexity das Szenario so ein, dass selbst ein „fully patched“ Zustand nicht zuverlässig Schutz bietet, wenn die konkrete Schwachstellenkombination in der bereits installierten Patchstufe nicht geschlossen ist. Die Release Notes für 25.1.3.0 datieren auf Juli 2026; damit sind Systeme, die erst später aktualisierten, tendenziell in einem anderen Risikobereich.
Besonders praxisrelevant ist die Frage, wie gut Erkennungstools gegen genau diese Kette funktionieren. Ivanti empfiehlt laut Bericht ein Upgrade sowie das regelmäßige Ausführen seines Integrity Checker Tools. Volexity kommt jedoch zu dem Schluss, dass das Tool den Angriff verfehlt, weil sich der Exploit in die speicherbasierte Code-Ausführung einklinkt und dabei Bibliothekscode nur in den Speicher verändert; anschließend stellt der Angreifer geänderte Konfigurationsteile wieder her. Zusätzlich unternimmt der Angreifer Schritte, um dem Tool selbst dann auszuweichen, wenn es aktiv prüft. Bestätigungen einer Kompromittierung erfordern deshalb eine forensische Untersuchung, darunter Netzwerk- und Memory-Forensik, und orientieren sich an konkreten Indikatoren aus dem untersuchten Incident.
Volexity nennt dafür mehrere sichtbare Spuren: Auffällig war ein URL-Pfad wie „/dana-na/auth/url_default/welcome.cgi“, der laut Bericht in großen Mengen angefragt wurde. Dazu kam ein HTTP-Header namens „X-DSCGI-PATH“, dessen Wert nicht zum angefragten URL-Pfad passte. Außerdem tauchte ein Verzeichniszugriff auf „/data/.icscap/<�…>“ auf. Als genutzte Angreifer-Host-IP wird 108.165.147[.]64 genannt. Im beschriebenen Incident blieb kein klassisches „Backdoor“- oder „Webshell“-Artefakt zurück; stattdessen soll der Angreifer die komplette Exploit-Kette für jeden einzelnen Befehl erneut durchlaufen haben. Laut Volexity ging es dabei auch um das Abgreifen gespeicherter Credentials, inklusive LDAP-Domain-Zugangsdaten, das Suchen nach Passwörtern in Active Directory sowie Password-Spraying-Angriffe gegen Konten.
Für die Risikoeinschätzung spielt auch die Bewertung der Schwachstellen eine Rolle. Ivanti ordnet CVE-2026-104935 auf der CVSS-Skala mit 8,6 von 10 ein. Im gleichen CVE-Eintrag markiert die US-Behörde CISA die Ausnutzung als „active“ und bewertet den technischen Impact als „total“. Volexity geht zudem nur mit low confidence davon aus, dass das Motiv kriminell und nicht nachrichtendienstlich geartet ist; weder Ivanti noch Volexity nennen, wie viele Kunden betroffen waren. Einen konkreten temporären Workaround für Installationen, die nicht sofort upgraden können, nennt der Bericht nicht, und ebenso bleibt offen, ob das Upgrade bereits gewährte Zugriffe eines Angreifers vollständig entfernt oder ob ein bereits etabliertes Stadium nach dem Patchstand bestehen bleiben kann.
Für Unternehmen bedeutet das: Das Patchen der betroffenen Connect-Secure-Versionen bleibt zwar der wichtigste Hebel, aber es sollte von einer Überprüfung der eigenen Exposition begleitet werden. Da das Angriffsmuster laut Volexity gerade die Grenzen von Integritätschecks ausnutzt, ist ein kompletter Kompromiss-Check sinnvoll, insbesondere wenn ungewöhnlich häufige Anfragen an den genannten URL-Pfad und Inkonsistenzen in Headern auftreten. Daneben zeigt die gleiche Ivanti-Mitteilung noch weitere Updates für andere Produkte: Für Xtraction (CVE-2026-106042 vor Version 2026.4) und für Neurons Patch for Intune (CVE-2026-109412) gibt es ebenfalls Fixes; Ivanti sagt dabei, keine Hinweise auf Ausnutzung zu kennen. In der Summe verstärkt der Vorfall die Grundhaltung vieler Security-Teams: VPN-Appliances und deren Patch- und Monitoring-Prozesse müssen nicht nur „Version compliance“-getrieben sein, sondern auch konkrete Indikatoren und forensische Pfade für den Ernstfall bereithalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ivanti Connect Secure: Angreiferkette aus drei Zero-Days ermöglicht Root-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ivanti Connect Secure: Angreiferkette aus drei Zero-Days ermöglicht Root-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ivanti Connect Secure: Angreiferkette aus drei Zero-Days ermöglicht Root-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!