Ivanti Connect Secure: Aktiv ausgenutzte VPN-Lücke CVE-2026-104935

Angreifer nutzen eine kritische Schwachstelle in Ivantis VPN-Appliance Connect Secure aktiv aus und übernehmen darüber aus dem Internet erreichbare Zugänge – ohne gültige Zugangsdaten. Ivanti hat am 13. Oktober 2026 einen Patch veröffentlicht, doch ein Teil der Angriffskette ist noch nicht geschlossen. Wer ein Ivanti-VPN betreibt, sollte sofort handeln.

Was ist passiert?

Die als hoch (high) eingestufte Schwachstelle CVE-2026-104935 ist ein Authentifizierungs-Bypass in Ivanti Connect Secure (ICS). Ein nicht angemeldeter Angreifer kann darüber aus der Ferne beliebige Befehle auf dem Gerät ausführen. Laut den Herstellern sind die Angriffe von geringer Komplexität und benötigen keine Nutzerinteraktion.

Der Sicherheitsdienstleister Volexity beobachtete, wie ein bislang unbekannter Akteur (UTA0576) CVE-2026-104935 mit zwei weiteren Fehlern zu einer Kette verband – einem Datei-Schreibfehler in wu.cgi und einer Rechteausweitung im dsinvoked-Broker. Das Ergebnis ist unauthentifizierte Code-Ausführung mit Root-Rechten auf einer vollständig gepatchten Appliance (beobachtet auf Version 22.8R2.4). Die ersten Angriffe wurden laut Defused Cyber bereits ab dem 1. Oktober 2026 registriert. Die US-Behörde CISA hat die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Wer ist betroffen?

Betroffen sind Ivanti-Connect-Secure-VPN-Gateways. Solche Appliances stehen in vielen Unternehmen direkt am Internet-Rand und bilden das Tor zum internen Netz – ein besonders attraktives Ziel. Nach einer erfolgreichen Übernahme griffen die Angreifer laut Volexity gespeicherte Zugangsdaten, Active-Directory-Metadaten, lokale Admin-Passwörter (LAPS) sowie BitLocker-Wiederherstellungsschlüssel ab und konnten Protokolle manipulieren, um Spuren zu verwischen.

Besonders kritisch: Ivanti hat den Authentifizierungs-Bypass und die Code-Ausführung (CVE-2026-104935) gepatcht, an der Rechteausweitung aus der Kette wird laut Hersteller aber noch gearbeitet. Verlassen Sie sich daher nicht allein auf das Update.

Was jetzt zu tun ist

1. Sofort patchen. Aktualisieren Sie Ivanti Connect Secure auf eine korrigierte Version: 22.8R2.5, 25.1.3.0, 25.1.3.1 oder 25.1.1.2.
2. Kompromittierung ausschließen. Prüfen Sie das Gerät forensisch (Netzwerk- und Speicheranalyse). Ivantis Integrity Checker Tool erkennt diese In-Memory-Kette laut Volexity nicht zuverlässig – ein grüner Prüflauf ist kein Freibrief.
3. Bei Verdacht auf Befall richtig aufräumen. Konfiguration sichern, Appliance auf Werkseinstellungen zurücksetzen bzw. virtuelle Instanz neu aufbauen, Konfiguration zurückspielen – und anschließend alle Passwörter (Domäne, Admin, lokale Konten) zurücksetzen, Zertifikate neu ausstellen sowie API-Keys und Lizenzserver-Zugänge erneuern.
4. Angriffsfläche reduzieren. Schränken Sie den Zugriff auf das Management-Interface ein und beschränken Sie VPN-Zugänge nach Möglichkeit auf bekannte Quellen.

So hilft Binary System Services

Wir prüfen Ihre aus dem Internet erreichbaren Systeme – VPN-Gateways, Firewalls, Mail-Server – auf bekannte Schwachstellen, spielen kritische Patches koordiniert ein und übernehmen im Ernstfall die forensische Prüfung samt sauberem Wiederaufbau und Passwort-Rotation. So wird aus einer Alarmmeldung ein kontrollierter Vorgang statt einer Notfall-Nachtschicht. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.