Wer ein VPN-Gateway von Ivanti betreibt, hat schon wieder Patch-Arbeit vor sich: Die US-Cybersicherheitsbehörde CISA hat am 30. Oktober 2026 zwei weitere Schwachstellen in Ivanti Connect Secure in ihren Katalog aktiv ausgenutzter Lücken (KEV) aufgenommen. CVE-2026-111357 erlaubt eine Rechteausweitung bis auf Root-Ebene, CVE-2026-118527 das Ablegen von Dateien mit Angreiferinhalt an einer bekannten Stelle auf dem Gerät. Zusammen mit der bereits Mitte Oktober bekannt gewordenen Lücke CVE-2026-104935 ergibt sich eine Kette, mit der Angreifer ohne Anmeldung Befehle als Root ausführen konnten.
Für US-Bundesbehörden läuft die Frist für CVE-2026-111357 bereits am Montag, 2. November 2026, ab. Für alle anderen gilt: Auch wer nach dem ersten Ivanti-Patch im Oktober aktualisiert hat, ist nicht automatisch geschützt.
Ivanti Connect Secure: Die drei Lücken der Angriffskette
Die Kette besteht aus drei CVE-Nummern, die Ivanti gemeinsam in seinem Sicherheitshinweis zu CVE-2026-104935 führt. Laut aktualisiertem CISA-Alert vom 30. Oktober nutzen Angreifer die Lücken aus, um Zugangsdaten zu stehlen und Daten abzuziehen.
- CVE-2026-104935 – Authentifizierungsumgehung durch Spoofing. Ein entfernter, nicht angemeldeter Angreifer kann beliebige Befehle ausführen. Seit 13. Oktober im KEV-Katalog.
- CVE-2026-111357 – „Missing Authentication for Critical Function“. Ein lokal angemeldeter Angreifer mit geringen Rechten kann seine Rechte ausweiten. Das belgische Centre for Cybersecurity (CCB) bewertet die Lücke mit CVSS 8.8, NHS England nennt 8.6. Seit 30. Oktober im KEV-Katalog, Frist 2. November, forensische Prüfung nach CISA-Richtlinie BOD 26-04 vorgeschrieben.
- CVE-2026-118527 – vorhersagbare Bezeichner. Ein entfernter, angemeldeter Angreifer kann Dateien mit eigenem Inhalt an eine bekannte Stelle auf der Festplatte hochladen. CVSS 4.3. Seit 30. Oktober im KEV-Katalog, Frist 13. November.
Die einzelnen Bewertungen wirken auf den ersten Blick moderat, weil zwei der drei Lücken eine Anmeldung oder lokalen Zugriff voraussetzen. Genau diese Voraussetzung liefert aber die erste Lücke: Nach Angaben des CCB hat Ivanti bestätigt, dass die beiden neuen Schwachstellen mit CVE-2026-104935 verkettet wurden, um eine Codeausführung vor der Anmeldung und anschließend Root-Rechte zu erreichen. Laut NHS England beobachtete Ivanti zum Zeitpunkt der Veröffentlichung eine Ausnutzung bei einer begrenzten Zahl von Kunden.
Welche Versionen betroffen sind
CISA nennt als betroffen Ivanti Connect Secure 25.1.1.2 und älter, 25.1.2.2 und älter sowie 22.8R2.5 und älter. Das kanadische Cyber Centre führt als korrigierte Stände die Versionen 25.1.1.3, 25.1.3.1 und 22.8R2.6. Wichtig ist der Blick auf 22.8R2.5: Diese Version schloss CVE-2026-104935, steht aber jetzt selbst auf der Liste der betroffenen Versionen, weil die Rechteausweitung erst später behoben wurde. Laut Volexity hat Ivanti den Patch für CVE-2026-111357 am 29. Oktober veröffentlicht.
Hinzu kommt ein Lebenszyklus-Thema: Der Versionszweig 22.8 erreicht laut CISA am 31. Januar 2027 sein Support-Ende. CISA verweist für Hardware- und virtuelle Appliances auf Ivantis Upgrade- und Migrationsleitfaden für die 25.x-Reihe. Wer noch auf 22.8 sitzt, sollte die Migration also ohnehin einplanen.
So lief der Angriff laut Volexity ab
Entdeckt hat die Kette das Sicherheitsunternehmen Volexity. In seiner Analyse vom 13. Oktober beschreibt es, wie ein bis dahin unbekannter Akteur, intern UTA0576 genannt, ab dem 3. Oktober 2026 eine zu diesem Zeitpunkt vollständig gepatchte Appliance mit Version 22.8R2.4 kompromittierte. Die Untersuchung begann am 5. Oktober bei einem Kunden.
Die technische Kette nach Volexity in drei Schritten:
- Umgehung der Anmeldung: Anfragen an das öffentliche Skript
/dana-na/auth/url_default/welcome.cgienthielten einen HeaderX-DSCGI-PATH, der auf ein geschütztes Skript zeigte. Die URL entschied, ob die Anfrage erlaubt ist, der Header, wohin sie geht. - Codeausführung: Über den Upload-Handler
wu.cgilandete ein Perl-Skript kurzzeitig auf der Platte, bevor es als ungültige ZIP-Datei gelöscht wurde. In diesem Zeitfenster riefen parallele Anfragen das Skript auf – eine Race Condition. - Root-Rechte: Der privilegierte Dienst
dsinvokedvertraute Konfigurationsdaten aus dem gemeinsamen Speicher DSCache. Der Angreifer manipulierte diesen Eintrag und ließ eine Wartungsaufgabe sein eigenes Skript als Root ausführen. Diese Rechteausweitung ist laut Volexity-Update die heutige CVE-2026-111357.
Auffällig ist das Vorgehen danach. UTA0576 installierte weder Web-Shell noch Backdoor, sondern führte für jeden Befehl die komplette Kette erneut aus und erhielt die Ergebnisse direkt in der HTTPS-Antwort. Anschließend wurden Einträge aus dem Ivanti-Debuglog und dem Linux-Audit-Log gelöscht, manipulierte Speicherinhalte zurückgesetzt und temporäre Dateien entfernt. Volexity zufolge erkennt das Integrity Checker Tool von Ivanti eine solche Kompromittierung nicht, weil nur Speicherinhalte verändert und wiederhergestellt werden.
Ziel waren vor allem Zugangsdaten: LDAP-Anmeldedaten von der Appliance, Active-Directory-Metadaten, LAPS-Administratorpasswörter und BitLocker-Wiederherstellungsschlüssel. Dazu kamen ein eigenes Kerberos-Werkzeug, Password-Spraying und das Auswerten von Netzwerkmitschnitten auf Klartext-Zugangsdaten. Volexity schätzt mit geringer Sicherheit, dass hinter UTA0576 eher kriminelle als Spionagemotive stehen, und mit mittlerer Sicherheit, dass der Akteur große Sprachmodelle für Exploit-Entwicklung und Nachbearbeitung nutzt. Ähnliche Muster beobachten Forscher derzeit häufiger, etwa bei der KI-gestützten Kampagne von VAPOR PANDA.
Was Betreiber jetzt tun sollten
CISA rät, betroffene Appliances umgehend auf die neueste Version zu aktualisieren. Weil ein Patch eine bereits erfolgte Kompromittierung nicht rückgängig macht, gehören zur Reaktion aber mehr Schritte:
- Version prüfen und aktualisieren: Auf 25.1.1.3, 25.1.3.1 oder 22.8R2.6 beziehungsweise neuer gehen – auch wenn bereits 22.8R2.5 installiert ist.
- Nach Spuren suchen: Volexity empfiehlt, auf auffällig viele Anfragen an
welcome.cgimit einemX-DSCGI-PATH-Header zu achten, insbesondere wenn URL-Pfad und Header-Pfad nicht zusammenpassen, und das Verzeichnis/tmp/auf Hinterlassenschaften zu prüfen. Indikatoren stellt Volexity auf GitHub bereit. - Forensik statt Integritätscheck: Wer eine Kompromittierung für möglich hält, braucht laut CISA Netzwerk- und Speicherforensik. Ein sauberes Ergebnis des Integrity Checkers schließt einen Befall nicht aus.
- Wiederherstellung bei Verdacht: CISA beschreibt nach den Ivanti-Recovery-Vorgaben vier Schritte: Konfiguration sichern, Werksreset und Upgrade durchführen (virtuelle Instanzen neu aufbauen), Konfiguration zurückspielen, dann alle Passwörter zurücksetzen – Domänen-, Administrator- und lokale Konten – sowie gespeicherte Zertifikate widerrufen und neu ausstellen, API-Schlüssel und Lizenzserver-Zugangsdaten erneuern.
- Active Directory mitdenken: Da UTA0576 gezielt LAPS-Passwörter und BitLocker-Schlüssel abgefragt hat, sollten bei Verdacht auch diese rotiert und das Dienstkonto der Appliance überprüft werden.
Einordnung
VPN-Gateways bleiben eines der attraktivsten Ziele überhaupt: Sie hängen direkt am Internet, sind oft mit dem Verzeichnisdienst verbunden und lassen sich schlecht überwachen. Der Ivanti-Fall zeigt das Problem in seiner unangenehmsten Form. Wer im Oktober zügig gepatcht hat, war gegen den Einstieg geschützt, blieb aber bis zum 29. Oktober für die Rechteausweitung anfällig. Und wer vor dem Patch angegriffen wurde, sieht das womöglich nicht einmal mit dem Herstellerwerkzeug.
Ähnlich wie zuletzt bei der aktiv ausgenutzten GitLab-Lücke CVE-2026-97229 gilt: Die CISA-Fristen sind formal nur für US-Bundesbehörden bindend, taugen aber als Orientierung für alle anderen. Für Ivanti Connect Secure heißt das konkret: patchen bis spätestens Anfang der Woche und bei exponierten Geräten nicht auf einen sauberen Integritätscheck vertrauen.
