CVE-2026-111357 ist eine als hoch eingestufte Rechteausweitung, CVE-2026-118527 erlaubt authentifizierten Angreifern das Hochladen von Dateien auf ungepatchte Geräte.

Als Ivanti im Oktober die Korrektur für CVE-2026-104935 bereitstellte, forderte das Unternehmen Administratoren zu einem möglichst raschen Upgrade auf, da man von „begrenzter Ausnutzung in freier Wildbahn" wisse. In einem am Donnerstag aktualisierten Sicherheitshinweis erklärte Ivanti: „Zum Zeitpunkt der Entdeckung der Ausnutzung hatte Ivanti bereits einen Fix für CVE-2026-104935 entwickelt, der sich für die unterstützten Versionen bereits in der Qualitätssicherung befand, und wir haben uns entschieden, die Auslieferung eines Fixes an die Kunden, der den primären Ausnutzungspfad behob, nicht zu verzögern, als die LPE entdeckt wurde." Deshalb habe der Fokus zunächst auf der Offenlegung von CVE-2026-104935 und dem schnellstmöglichen Schutz der Kunden gelegen.

Entdeckt wurde die Lücke vom Sicherheitsunternehmen Volexity. Dieses berichtete seinerzeit, ein als UTA0576 geführter Akteur habe CVE-2026-104935 seit mindestens dem 3. Oktober mit zwei weiteren Schwachstellen verkettet, um auf vollständig gepatchten ICS-Geräten unauthentifizierte Codeausführung mit Root-Rechten zu erlangen. „Bemerkenswerterweise setzte UTA0576 weder Schadsoftware noch eine Web-Shell ein. Stattdessen nutzte der Akteur das Gerät für jeden ausgeführten Befehl erneut aus und manipulierte Protokolle, um seine Spuren zu verwischen, wodurch er Ivantis Integrity Checker Tool umging", so Volexity.

Das Threat-Intelligence-Unternehmen Defused bestätigte die Darstellung von Volexity und gab an, erste Anzeichen aktiver Ausnutzung von CVE-2026-104935 ab dem 1. Oktober beobachtet zu haben.

Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-104935 am Dienstag in ihren Katalog aktiv ausgenutzter Schwachstellen auf und verpflichtete Bundesbehörden, ihre Systeme bis Freitag zu patchen.

Shadowserver erfasst derzeit mehr als 5.000 aus dem Internet erreichbare ICS-Instanzen; wie viele davon bereits gegen die laufenden Angriffe abgesichert sind, ist nicht bekannt.

Ivanti-Schwachstellen sind ein häufiges Ziel, oft in Zero-Day-Angriffen, weil sie einen schnellen Weg in Unternehmensnetze eröffnen, um sensible Firmen- und Kundendaten zu stehlen. In den vergangenen Jahren hat Ivanti mehrere weitere ausgenutzte Connect-Secure-Zero-Days geschlossen, einige davon in breit angelegten Angriffen zur Verbreitung von Schadsoftware verkettet:

  • Anfang Januar 2024: eine Command Injection (CVE-2024-21887) und eine Authentifizierungsumgehung (CVE-2023-46805)
  • zwei Wochen später: eine Server-Side Request Forgery (CVE-2024-21893)
  • Januar 2025: eine Schwachstelle zur Remote-Codeausführung (CVE-2025-0282)
  • eine zweite RCE-Lücke (CVE-2025-22457), die seit mindestens Mitte März 2025 von staatlichen Hackern mit China-Bezug ausgenutzt wurde

Ivanti beschäftigt mehr als 3.000 Mitarbeiter, arbeitet mit über 7.000 Partnern zusammen und zählt weltweit über 40.000 Kunden, die seine Lösungen für IT-Asset-Management einsetzen. Seit November 2021 hat die CISA 38 Ivanti-Schwachstellen als aktiv ausgenutzt markiert, davon zwölf, die auch in Ransomware-Angriffen missbraucht wurden.