Ivanti Connect Secure: Zero-Day-Kette für Root-Zugriff ausgenutzt, eine von drei Lücken noch ungepatcht

Angreifer verketteten drei unbekannte Lücken in Ivanti-Connect-Secure-VPN-Gateways, um ohne Anmeldung Befehle als root auszuführen, und sammelten dann Active-Directory-Zugangsdaten. Ivanti schloss zwei Lücken am 13. Oktober (CVE-2026-104935); die Rechteausweitung bleibt offen.

Was geschah

Am 13. Oktober 2026 veröffentlichte Ivanti die Schwachstelle CVE-2026-104935 in seinem VPN-Gateway Connect Secure und erklärte, von einer begrenzten Ausnutzung zu wissen. Am selben Tag nahm CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 16. Oktober. Gemeldet wurde sie von Volexity, das bei der Untersuchung eines Einbruchs bei einem Kunden – Beginn am 3. Oktober – auf eine Exploit-Kette stieß.

Laut Volexity kombiniert die Kette drei Schwächen: eine Authentifizierungsumgehung in welcome.cgi, einen Dateischreibfehler, der zur Codeausführung aus der Ferne führt, und eine Rechteausweitung bis root. Die ersten beiden sind unter CVE-2026-104935 (CVSS 8,6) zusammengefasst und behoben. Für die Rechteausweitung gibt es noch keinen Fix; Volexity erwartet ihn in den kommenden Wochen.

Was die Angreifer taten

Volexity führt den Akteur als UTA0576. Er installierte weder Webshell noch Hintertür, sondern nutzte das Gateway, um Zugangsdaten zu sammeln: LDAP-Abfragen im Active Directory, Kerberoasting, Password Spraying und Mitschnitte des Netzverkehrs, um Klartext-Anmeldungen über LDAP, HTTP Basic und NTLM abzugreifen. Ziel waren auch LAPS-Passwörter, BitLocker-Wiederherstellungsschlüssel und die VPN-Konfiguration. Da die Änderungen im Speicher lagen, erkennt Ivantis Integrity Checker Tool eine Kompromittierung womöglich nicht.

Was jetzt zu tun ist

1. Version prüfen. Laut NVD sind die Zweige 22.8R2 bis 22.8R2.4 und 25.1 vor 25.1.3.0 betroffen; 22.7R2.14 und älter nicht.
2. Sofort aktualisieren auf 22.8R2.5 oder 25.1.3.0 / 25.1.3.1, gemäß Ivantis Hinweis.
3. Logs durchsuchen nach gehäuften Anfragen an /dana-na/auth/url_default/welcome.cgi mit einem X-DSCGI-PATH-Header sowie nach unerwarteten Dateien in /tmp/. Nicht allein auf den Integrity Checker verlassen.
4. War das Gateway seit Anfang Oktober erreichbar, von einer möglichen Kompromittierung ausgehen: Passwörter der vom VPN genutzten AD-Dienstkonten und aller Konten mit SPN ändern, LAPS-Passwörter und BitLocker-Schlüssel erneuern, auf Password Spraying achten.
5. Den dritten Fix einspielen, sobald Ivanti ihn liefert.

Unsere Einschätzung

Ein VPN-Gateway sieht jedes Passwort, das hindurchgeht – der ideale Ort, um ein ganzes Verzeichnis zu stehlen, ohne einen Arbeitsplatz anzufassen. Der Patch schließt die Tür, doch vorher gestohlene Zugangsdaten bleiben gültig, bis man sie ändert. Diese Rotation gehört fest zur Reaktion.

Quellen

• Ivanti — October 2026 Security Update
• Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
• NIST NVD — CVE-2026-104935

Wie wir unsere Analysen auswählen, prüfen und schreiben →