Betroffen sind die ICS-Versionen 22.8R2.4 und älter, 25.1.2.2 und älter sowie 25.1.1.1 und älter. Angreifer können die Schwachstelle aus der Ferne und ohne Privilegien in Angriffen mit geringer Komplexität ausnutzen; eine Nutzerinteraktion ist nicht erforderlich. Im Erfolgsfall lassen sich beliebige Befehle auf den angegriffenen ICS-Appliances ausführen.

“Zum Zeitpunkt der Veröffentlichung hat Ivanti Kenntnis von begrenzter Ausnutzung in freier Wildbahn. Wir arbeiten direkt mit den betroffenen Organisationen zusammen und stellen gleichzeitig Informationen, Updates und Gegenmaßnahmen der breiteren Kundengemeinschaft zur Verfügung. Wenn Sie eine der betroffenen Versionen einsetzen, empfiehlt Ivanti, sofort zu handeln”, teilte das Unternehmen mit. Kunden sollten den Sicherheitshinweis prüfen, so schnell wie möglich auf die fehlerbereinigte Version aktualisieren und das Integrity Checker Tool regelmäßig ausführen.

Das Internet-Monitoring-Projekt Shadowserver erfasst derzeit mehr als 5.500 online erreichbare ICS-Instanzen. Unklar ist allerdings, wie viele davon Honeypots sind oder bereits gegen die laufenden Angriffe abgesichert wurden.

ICS, früher als Pulse Connect Secure und ursprünglich als Juniper Pulse bekannt, ist ein SSL-VPN für Unternehmen, das Beschäftigten im Homeoffice, externen Dienstleistern und hybriden Belegschaften abgesicherten Zugriff auf Unternehmens- und Cloud-Ressourcen bietet. Schwachstellen in Ivanti-Produkten werden häufig und oft als Zero-Days ausgenutzt, da sie einen schnellen Weg in Unternehmensnetze eröffnen, um sensible Kunden- und Firmendaten zu entwenden.

In den vergangenen Jahren musste Ivanti bereits mehrere in freier Wildbahn ausgenutzte Connect-Secure-Zero-Days schließen, teils in großflächigen Angriffen verkettet, um Schadsoftware auszubringen:

  • CVE-2023-46805 (Authentifizierungsumgehung) und CVE-2024-21887 (Command Injection), behoben Anfang Januar 2024
  • CVE-2024-21893 (Server-Side Request Forgery), zwei Wochen später behoben
  • CVE-2025-0282 (Remote Code Execution), behoben im Januar 2025
  • CVE-2025-22457 (Remote Code Execution), von mit China in Verbindung gebrachten Cyberspionen mindestens seit Mitte März 2025 ausgenutzt

Die US-Cybersicherheitsbehörde CISA hat seit November 2021 insgesamt 36 Schwachstellen in verschiedenen Ivanti-Produkten als aktiv ausgenutzt eingestuft, zwölf davon wurden auch von Ransomware-Banden missbraucht. Ivanti beschäftigt über 3.000 Mitarbeiter, arbeitet mit mehr als 7.000 Partnern zusammen und zählt weltweit über 40.000 Kunden, die seine Lösungen für IT-Asset-Management einsetzen.