Im Einzelnen handelt es sich um:

  • CVE-2026-111357 (CVSS-Wert 8.8) – eine fehlende Authentifizierung für eine kritische Funktion, über die ein lokal authentifizierter Angreifer seine Rechte ausweiten kann.
  • CVE-2026-118527 (CVSS-Wert 4.3) – die Erzeugung vorhersagbarer Zahlen oder Bezeichner, die es einem entfernten authentifizierten Angreifer erlaubt, Dateien mit selbst bestimmtem Inhalt an einen bekannten Ort auf der Festplatte hochzuladen.

Die Angriffskette wurde erstmals in diesem Monat von Volexity dokumentiert. Dort wurden die Lücken zusammen mit einer Schwachstelle zur Umgehung der Authentifizierung (CVE-2026-104935, CVSS-Wert 8.6) von einem bis dahin nicht beschriebenen Akteur eingesetzt, den die Forscher UTA0576 nennen. CVE-2026-104935 war bereits am 13. Oktober 2026 in den KEV-Katalog aufgenommen worden.

„Diese Exploit-Kette kombinierte eine Umgehung der Authentifizierung, eine Remote-Codeausführung (RCE) und eine Schwachstelle zur Rechteausweitung, um unauthentifizierte Codeausführung auf Root-Ebene zu erreichen", erklärte Volexity.

Anders als bei vergleichbaren Angriffen, bei denen solche Lücken typischerweise zum Ablegen von Web-Shells oder Schadsoftware dienen, nutzte UTA0576 sie, um Zugangsdaten und begrenzte Active-Directory-Metadaten abzugreifen, das System auszukundschaften sowie nach Administratorpasswörtern und BitLocker-Wiederherstellungsschlüsseln zu suchen.

Zum Zeitpunkt der Veröffentlichung der Details arbeitete Ivanti nach eigenen Angaben noch an Korrekturen für die in der Kette ausgenutzte lokale Rechteausweitung (LPE). Inzwischen stehen Patches für CVE-2026-111357 und CVE-2026-118527 bereit:

  • Versionen 25.1.1.2 und früher – behoben in 25.1.1.3
  • Versionen 22.8R2.5 und früher – behoben in 22.8R2.6

„Zum Zeitpunkt der Entdeckung der Ausnutzung hatte Ivanti einen Fix für CVE-2026-104935 entwickelt, der für die unterstützten Versionen bereits in der Qualitätssicherung war, und wir haben entschieden, die Auslieferung eines Fixes an die Kunden, der den primären Ausnutzungspfad schließt, nicht zu verzögern, als die LPE entdeckt wurde", so Ivanti. „Deshalb lag unser Fokus zunächst auf der Offenlegung von CVE-2026-104935 und darauf, unsere Kunden so schnell wie möglich zu schützen."

Einen Teil dieser Schwachstelle habe das Unternehmen im Rahmen seines eigenen Produktsicherheitsprogramms entdeckt und im Juli-Release 25.1.3.0 behoben; man habe daran gearbeitet, den Fix auf weitere unterstützte Versionen zurückzuportieren, als die Ausnutzungsaktivität auftrat. Das aktuelle Release schließt alle Schwachstellen, die in freier Wildbahn verkettet und ausgenutzt wurden.

US-Bundesbehörden der Federal Civilian Executive Branch (FCEB) müssen die Korrekturen für CVE-2026-111357 bis zum 2. November 2026 und für CVE-2026-118527 bis zum 13. November 2026 einspielen.