„Der CISA ist bekannt, dass Cyber-Bedrohungsakteure diese Zero-Day-Schwachstelle zur Authentifizierungsumgehung ausnutzen, die die entfernte, nicht authentifizierte Ausführung beliebiger Befehle erlaubt, um Zugangsdaten zu stehlen und Daten abzuziehen", teilte die Behörde mit. Sie nahm die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf; Bundesbehörden der Federal Civilian Executive Branch müssen die Korrekturen bis zum 16. Oktober 2026 einspielen.

Zur Patch-Planung verweist die CISA auf Ivantis „Connect Secure Upgrade and Migration Compatibility Guide" und weist darauf hin, dass Version 22.8 am 31. Januar 2027 das Ende ihrer Unterstützung erreicht. Wer klären wolle, ob ein System kompromittiert wurde, müsse Netzwerk- und Speicherforensik betreiben, um Spuren der Ausnutzung zu finden.

Für den Fall eines festgestellten Kompromisses empfiehlt die CISA folgende Schritte:

  • Sicherung der Appliance-Konfiguration anlegen
  • Werksreset durchführen und die Appliance auf die neueste Version aktualisieren
  • bei Cloud- und virtuellen Systemen die virtuelle Instanz neu aufbauen und aktualisieren
  • die Konfiguration aus der zuvor erstellten Sicherung wiederherstellen
  • Passwörter aller Konten zurücksetzen, einschließlich Domänen-, Administrator- und lokaler Konten; gespeicherte Zertifikate widerrufen und neu ausstellen; gespeicherte API-Schlüssel und Zugangsdaten des Lizenzservers zurücksetzen

Parallel meldete Previdian, bis zum 14. Oktober 2026 insgesamt 105 Ausnutzungsversuche gegen seine Honeypot-Sensoren beobachtet zu haben. Die Versuche stammten von 50 unterschiedlichen IP-Adressen, die nach Singapur und in die USA verortet wurden. Zu den beobachteten Adressen zählen 216.73.160[.]59, 216.73.160[.]61, 216.73.160[.]210 und 45.8.19[.]111.

Nach Angaben von Previdian-Gründer und CEO Ryan Dewhurst nutzen die Angreifer den Header X-DSCGI-PATH, um einen internen CGI-Handler zu erreichen und Perl-Skripte hochzuladen, die als ZIP-Dateien getarnt sind. Die Skripte geben eindeutige Marker zurück, anhand derer sich erkennen lässt, ob die Codeausführung gelungen ist. „Wir sehen koordinierte Versuche, diese Ivanti-Schwachstelle auszunutzen, aber die bislang erfassten Payloads testen in erster Linie auf Codeausführung, statt Schadsoftware auszubringen oder das Gerät zu kompromittieren", sagte Dewhurst. „Eine vollständig bewaffnete Ausnutzung dürfte jedoch in den kommenden Stunden und Tagen folgen."

Volexity berichtet in einer eigenen Analyse, die Ausnutzung von CVE-2026-104935 erstmals am 3. Oktober 2026 beobachtet zu haben. Ein bislang nicht dokumentierter Akteur mit der Bezeichnung UTA0576 kombinierte die Lücke demnach mit einer Schwachstelle zur Rechteausweitung, um nicht authentifizierte Codeausführung mit Root-Rechten zu erreichen. UTA0576 wird nach Einschätzung von Volexity von kriminellen Motiven getrieben, nicht von Spionage.

Nach erfolgreicher Ausnutzung folgten umfangreiche Post-Exploitation-Aktivitäten: Extraktion der auf der ICS-VPN-Appliance gespeicherten Zugangsdaten, Abfluss begrenzter Active-Directory-Metadaten, Einsatz eines Kerberos-Werkzeugs für Kerberoast-Angriffe und das Durchprobieren von Zugangsdaten, Host-Aufklärung, Mitschnitt von LDAP-Paketen sowie das Ablegen eines Python-LDAP-Werkzeugs zur Suche nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln.

„Die geborgenen Payloads zeigen gezielte Bemühungen, die bösartige Aktivität durch selektive Manipulation von Protokolldateien, das Entfernen temporärer Ausführungsartefakte und die Wiederherstellung veränderter Systemzustände zu verschleiern", schreiben die Volexity-Forscher Charlie Gardner, Sean Koessel und Steven Adair. „UTA0576 hat weder Schadsoftware noch eine Web-Shell ausgebracht. Stattdessen nutzte der Akteur das Gerät für jeden einzelnen Befehl erneut aus und manipulierte Protokolle, um Spuren zu verwischen – und umging so Ivantis Integrity Checker Tool."

Auch das Threat-Intelligence-Unternehmen Defused Cyber bestätigte aktive Ausnutzung: Die eigenen Köder hätten ab dem 1. Oktober 2026 „eine Ausnutzung vor der Offenlegung erfasst, die wir CVE-2026-104935 zuordnen".

Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, bezeichnete die Ursache als „unglaublich simpel": Eine einzige Anfrage mit einem speziell präparierten X-DSCGI-PATH-Header genüge, um die Authentifizierung zu umgehen und auf sensible Funktionen zuzugreifen, die eigentlich gesperrt sein sollten. Ivanti Connect Secure sei seit Langem ein beliebtes Ziel von Angreifern, darunter Ransomware-Banden, und reihe sich neben 14 weiteren Schwachstellen in Ivanti Connect Secure beziehungsweise Pulse Connect Secure in der KEV-Liste der CISA ein. Angesichts dieser Vorgeschichte sei zu erwarten, dass sich die Ausnutzung sehr schnell von gezielten Angriffen zu wahlloser Massenausnutzung entwickelt. Betreiber sollten ihre Appliances auf Anzeichen einer Kompromittierung prüfen, insbesondere auf eingehende Anfragen mit einem X-DSCGI-PATH-Header.