Ivanti Connect Secure: Zero-Day-Lücken für Root-Zugriff verkettet

Angreifer haben drei Zero-Day-Lücken in Ivanti Connect Secure verkettet, um ohne Anmeldung Befehle als root auszuführen. Das gaben Ivanti und das Sicherheitsunternehmen Volexity am 13. Oktober 2026 bekannt. Connect Secure ist eine VPN-Appliance, die Unternehmen am Rand ihrer Netzwerke einsetzen, damit sich Mitarbeiter aus der Ferne verbinden können. Ivanti hat zwei der Lücken behoben, die gemeinsam als CVE-2026-104935 geführt werden. Für die dritte, die dem Angreifer root-Rechte verschafft, gibt es noch keinen Fix.

So funktionierte der Angriff

Volexity entdeckte den Angriff auf der Appliance eines Kunden, die vollständig gepatcht war und Version 22.8R2.4 ausführte, berichtet The Hacker News. Volexity führt den unbekannten Angreifer als UTA0576 und gibt an, dass UTA0576 am 3. Oktober begann, dieses Gerät auszunutzen. Das Threat-Intelligence-Unternehmen Defused sah laut BleepingComputer erste Anzeichen einer Ausnutzung ab dem 1. Oktober.

Die Kette hat drei Schritte:

1. Umgehung der Authentifizierung. Der Angreifer gelangt ohne Passwort hinein.
2. Remotecodeausführung. Der Angreifer führt Befehle auf der Appliance aus.
3. Rechteausweitung. Diese Befehle laufen dann als root, das allmächtige Systemkonto.

Die ersten beiden fallen unter CVE-2026-104935, die Ivanti mit 8,6 von 10 bewertet. Ivanti rechnet damit, die dritte „in einer künftigen Version in den kommenden Wochen“ zu beheben, sagte Volexity.

Nach dem Eindringen stahl der Angreifer gespeicherte Zugangsdaten, darunter Domain-Anmeldungen, und führte Password-Spraying-Angriffe aus, berichtet The Hacker News. Laut iTnews suchte der Angreifer außerdem nach lokalen Admin-Passwörtern und BitLocker-Wiederherstellungsschlüsseln und fing Zugangsdaten im Klartext aus dem VPN-Verkehr ab.

Welche Versionen betroffen sind

Rapid7 nennt diese betroffenen Versionen und ihre Fixes:

Betroffene Version	Behoben in
22.8R2.4	22.8R2.5
25.1.1.1	25.1.1.2
25.1.2.2	25.1.3.0 oder 25.1.3.1
22.7.x und älter	Nicht betroffen

Ivanti fand einen Teil der Lücke über sein eigenes Sicherheitsprogramm und behob ihn im Juli in 25.1.3.0, sagt Rapid7. Die Angriffe geschahen, während Ivanti diesen Fix noch auf ältere Versionen übertrug. Ivanti sagte CyberScoop, die Lücke habe „die Schwelle für eine Out-of-Band-Veröffentlichung nicht erreicht“, daher sei der Fix im normalen Zeitplan erschienen.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (Cybersecurity and Infrastructure Security Agency, CISA) nahm die Lücke am 13. Oktober in ihre Liste bekannter ausgenutzter Schwachstellen auf. US-Bundesbehörden müssen bis zum 16. Oktober patchen, berichtet iTnews.

Warum die übliche Prüfung den Angriff übersehen kann

Der Angreifer hinterließ fast keine Spuren. Der Angreifer setzte weder Malware noch eine Web Shell ein, sagt Volexity. Stattdessen führte der Angreifer für jeden Befehl die gesamte Kette erneut aus und manipulierte die Protokolle des Geräts.

Der Exploit ändert Code außerdem nur im Arbeitsspeicher und stellt die Einstellungen wieder her, die er verändert, berichtet The Hacker News. So entging der Exploit Ivantis Integrity Checker Tool, dem Scanner, den Ivanti seinen Kunden zur Ausführung empfiehlt. Die CISA hat gewarnt, dass das Tool diesen Angriff möglicherweise nicht erkennt, und rät deshalb stattdessen zu Netzwerk- und Speicherforensik, berichtet CyberScoop.

Volexity geht mit mittlerer Sicherheit davon aus, dass der Angreifer KI-Modelle nutzte, um seine Tools zu bauen, schreibt iTnews. Nur mit geringer Sicherheit vermutet Volexity ein kriminelles Motiv statt Spionage.

„Edge-Geräte sind ein wertvoller erster Brückenkopf und ermöglichen es Angreifern oft, weiter in die Zielnetzwerke vorzudringen“, sagte Sean Koessel, Vice President of Professional Services bei Volexity, gegenüber CyberScoop.

Ein bekanntes Ziel

Ivanti beschreibt die Angriffe als „begrenzte Ausnutzung in freier Wildbahn“ (limited exploitation in the wild). Keines der beiden Unternehmen hat gesagt, wie viele Kunden betroffen waren. Shadowserver, eine gemeinnützige Organisation, die das Internet scannt, verfolgt laut BleepingComputer mehr als 5.500 online erreichbare Connect-Secure-Appliances.

Es ist nicht das erste Mal. Seit November 2021 standen laut BleepingComputer 36 Ivanti-Lücken auf der Liste der CISA, und Ransomware-Banden haben 12 davon missbraucht.

Was das für Entwickler bedeutet

Für Teams, die Ivanti Connect Secure betreiben oder davon abhängen:

• Jetzt patchen, nicht erst im nächsten Wartungsfenster. „Wenn Sie eine der betroffenen Versionen einsetzen, empfiehlt Ivanti, sofort zu handeln.“ Auch Rapid7 rät, außerhalb der normalen Zyklen zu patchen.
• Nicht davon ausgehen, dass der Patch das Ende ist. Die dritte Lücke ist noch offen, und ein gepatchtes Gerät kann bereits kompromittiert sein. Suchen Sie nach dem Upgrade nach Anzeichen einer Kompromittierung.
• Nicht allein dem Checker vertrauen. Das Integrity Checker Tool hat diese Kette übersehen. Prüfen Sie den Netzwerkverkehr der Appliance, und setzen Sie wo möglich Speicherforensik ein.
• Rotieren, was das VPN sehen konnte. Der Angreifer erbeutete Domain-Zugangsdaten und schnitt Passwörter aus dem VPN-Verkehr mit. Setzen Sie die Passwörter von Dienstkonten zurück und prüfen Sie die letzten Anmeldungen, die über die Appliance liefen.
• Auf den dritten Fix achten. Ivanti hat ihn für die kommenden Wochen zugesagt. Bis dahin sollten Sie einschränken, wer die Anmeldeseite der Appliance erreichen kann.