Ivanti Connect Secure: Angreifer nutzen Zero-Day-Kette, bevor der Fix alle Versionen erreichte

„Uns ist bekannt, dass es zum Zeitpunkt der Veröffentlichung Ausnutzung in freier Wildbahn gibt, von der eine begrenzte Zahl von Kunden betroffen ist", erklärte Ivanti in seinem Sicherheitshinweis. Dort heißt es weiter, man habe „einen Teil dieser Schwachstelle" im Juli über das eigene Produktsicherheitsprogramm entdeckt und mit der Version 25.1.3.0 geschlossen: „Wir hatten daran gearbeitet, den Fix auf die verbleibenden unterstützten Versionen zurückzuportieren, als die Ausnutzung auftrat."

Welcher Anteil von CVE-2026-104935 im Sommer gefunden wurde, ist unklar. Ein Ivanti-Sprecher bestätigte allerdings, dass die Entdeckung über das LLM-Projekt des Unternehmens erfolgte, das mehrere Frontier- und Open-Source-KI-Modelle einsetzt, um Schwachstellen in den eigenen Produkten zu finden und automatisch zu beheben. Den zeitlichen Vorsprung, den die KI-Modelle verschafften, konnten die Angreifer offenbar dennoch überholen.

Angriffskette mit drei Schwachstellen

Forscher von Volexity stießen nach eigenen Angaben am 5. Oktober auf die bösartigen Aktivitäten, während sie einen Vorfall bei „einem Kunden im Bereich Netzwerksicherheitsüberwachung" untersuchten; der Blogbeitrag dazu erschien am Dienstag. Eine forensische Untersuchung ergab, dass eine ICS-Appliance die Ursache des am 3. Oktober begonnenen Angriffs war und dass ein als UTA0576 verfolgter Akteur eine Zero-Day-Exploit-Kette zur Kompromittierung des Geräts einsetzte. Betroffen waren ICS-Appliances, die zum Zeitpunkt des Angriffs vollständig gepatcht waren.

„Diese Exploit-Kette kombinierte eine Authentifizierungsumgehung, eine Remotecodeausführung (RCE) und eine Schwachstelle zur Rechteausweitung, um nicht authentifizierte Codeausführung auf Root-Ebene zu erreichen", schreiben die Volexity-Forscher. „Die RCE- und die Authentifizierungsumgehungs-Schwachstelle werden unter CVE-2026-104935 geführt." Die Lücke zur Rechteausweitung wurde bislang nicht offengelegt; laut Volexity arbeitet Ivanti derzeit an einem Fix, der in einem künftigen Update ausgeliefert werden soll.

Die Akteure von UTA0576 extrahierten Zugangsdaten aus der ICS-Appliance und gingen anschließend zu weiteren Aktivitäten über — vom Zugriff auf das Active Directory der betroffenen Organisation bis zum Löschen von Spuren der Ausnutzung aus den Debug-Logs von Ivanti. Weil der Angriff entdeckt und unterbrochen wurde, bleibt nach Angaben der Volexity-Forscher offen, welches Ziel die Angreifer letztlich verfolgten.

Herausforderung Rückportierung

Douglas McKee, Director of Vulnerability Intelligence bei Rapid7, sieht darin exemplarisch die Schwierigkeiten, denen Hersteller heute gegenüberstehen: Schwachstellen nicht nur vor Angreifern zu finden, sondern sie auch vollständig zu beheben, bevor sie ausgenutzt werden. „Den Fehler zu finden ist nur ein Teil der Arbeit", sagt McKee. „Ivanti hat einen Teil davon gefunden, ihn im Juli in der neuesten Version behoben und musste denselben Fix dann über jede ältere unterstützte Version tragen, die noch im Feld läuft. Genau dieses Backport-Fenster ist der Punkt, an dem es schiefging, denn der Fix existierte, hatte aber noch nicht überall hingefunden, wo er hingehörte, als die Angreifer auftauchten."

Eine stille Korrektur in nur einer Version könne für Angreifer ein lautes Signal sein, betont McKee: „Angreifer achten sehr genau darauf, was ein Hersteller ändert, und eine ungepatchte Lücke über die unterstützten Versionen hinweg ist eine offene Einladung, dasselbe Problem dort zu finden, wo der Patch noch nicht angekommen ist." Dass Hersteller immer besser darin würden, eigene Schwachstellen zu finden, sei eine positive Entwicklung — die Uhr für die Ausnutzung beginne jedoch in dem Moment zu laufen, in dem ein Fix veröffentlicht werde. „Den Abstand zwischen ‚wir haben einen Fix‘ und ‚jeder Kunde hat den Fix‘ zu verkürzen, ist der Ort, an dem ein großer Teil dieses Risikos tatsächlich liegt — und, um fair zu sein, eine sehr schwierige Herausforderung, die uns schon immer begleitet hat", sagt er.

KEV-Eintrag und Gegenmaßnahmen

Die US-Behörde CISA nahm CVE-2026-104935 am Dienstag in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf und setzte zivilen Bundesbehörden eine Frist bis zum 16. Oktober, die Lücke zu entschärfen — entweder durch ein Update auf eine fehlerbereinigte Version oder durch Abschalten der Appliances.

Die Schwachstelle erhielt einen CVSS-Wert von 8.6 (hoch). McKee hält sie dennoch für außerordentlich ernst und rät Sicherheitsteams zur Priorisierung: „Was die Zahl nicht sagen kann, ist, dass dies bereits als Zero-Day in freier Wildbahn ausgenutzt wird, dass es auf einer zum Internet hin exponierten VPN-Appliance liegt und dass Angreifer es mit einem zweiten Fehler verketten. Das sind die Dinge, die bestimmen sollten, wie schnell Organisationen handeln, und zusammen heben sie das praktische Risiko deutlich über das, was 8.6 auf dem Papier bedeutet."

Volexity beschreibt, dass sich die Lücke über eine gefälschte HTTP-Anfrage mit dem ICS-internen Routing-Header X-DSCGI-PATH ausnutzen lässt. Die Forscher warnen zugleich, dass Angreifer wahrscheinlich „zusätzliche Pfade identifizieren werden, die entweder als URL- oder als Header-Ziel für diesen Exploit genutzt werden können". Empfohlen wird, auf Abweichungen zwischen dem URL-Pfad und dem X-DSCGI-PATH-Header zu achten.

Die Erkennung einer Ausnutzung dürfte schwierig bleiben: Ivanti verweist Kunden auf sein Integrity Checker Tool (ICT), doch laut Volexity erkennt dieses Werkzeug Veränderungen an einem Gerät möglicherweise nicht, „weil diese Exploit-Kette Bibliothekscode nur im Arbeitsspeicher patcht und Daten des Konfigurationsspeichers wiederherstellt". Zum Nachweis entsprechender Aktivitäten seien Netzwerk- und Speicherforensik erforderlich.