Ivanti Connect Secure: zero-day-keten geeft aanvallers root

Een onbekende aanvaller heeft drie kwetsbaarheden in Ivanti Connect Secure (ICS) VPN-appliances aan elkaar geschakeld om rootrechten te krijgen, inloggegevens te stelen en de netwerken van slachtoffers in kaart te brengen. De aanvallen werkten tegen appliances die op dat moment volledig gepatcht waren.

Volexity ontdekte de activiteit in de eerste week van oktober 2026 en volgt de aanvaller onder de naam UTA0576. Op de gecompromitteerde appliance draaide versie 22.8R2.4, destijds de nieuwste beschikbare release.

Volgens Ivanti was op het moment van de bekendmaking slechts een beperkt aantal klanten getroffen. Het bedrijf zegt die organisaties te helpen.

Drie lekken, een keten

Volgens Volexity begint de keten met een omzeiling van de authenticatie in welcome.cgi. Daarna volgt een kwetsbaarheid in wu.cgi waarmee bestanden kunnen worden geschreven. De laatste stap is een lek voor het verhogen van rechten, dat zit in de manier waarop de dsinvoked-broker van ICS configuratiegegevens uit DSCache vertrouwt. Via dat lek kan een aanvaller commando's als root uitvoeren.

Met rootrechten had UTA0576 volledige controle over de aangevallen apparaten. De aanvallers gebruikten die om:

• inloggegevens die op de appliance zijn opgeslagen buit te maken
• een deel van de Active Directory-metadata weg te sluizen
• lokale beheerderswachtwoorden en BitLocker-herstelsleutels te verzamelen
• configuratiegegevens te stelen
• LDAP-verkeer dat door de gecompromitteerde appliance liep te onderscheppen
• met logbestanden te knoeien, tijdelijke uitvoeringssporen te wissen en op andere manieren hun sporen uit te wissen

Volgens Defused Cyber vond de vroegst bevestigde aanval plaats op 1 oktober.

Criminelen of spionnen?

Volexity gaat er met weinig zekerheid van uit dat UTA0576 op geld uit is en niet op spionage, en baseert dat op de keuze van de doelwitten. Omdat de inbraak werd ontdekt en gestopt, konden de onderzoekers niet vaststellen wat de aanvallers uiteindelijk wilden.

Over de richting zijn ze stelliger. Volexity schat met grote zekerheid in dat de acties van de aanvaller bedoeld waren als voorbereiding op laterale beweging en een bredere compromittering van het netwerk van het slachtoffer.

Patch voor een deel van de keten

Ivanti heeft een oplossing uitgebracht voor de omzeiling van de authenticatie en de kwetsbaarheid voor het op afstand uitvoeren van code, bekend als CVE-2026-104935. Aan een oplossing voor het deel van de keten waarmee rechten worden verhoogd, wordt nog gewerkt.

Het bedrijf zegt een deel van het probleem al te hebben gevonden via zijn eigen productbeveiligingsprogramma. Dat deel werd in juli gepatcht in release 25.1.3.0, en Ivanti was bezig de oplossing naar zijn andere ondersteunde versies over te zetten toen de aanvallen begonnen.

Ivanti adviseert klanten om te upgraden naar een versie met de oplossing, hun systemen te controleren aan de hand van de indicators of compromise die Volexity heeft gepubliceerd, en regelmatig de ICS Integrity Checker Tool te draaien. Die tool zoekt naar onverwachte wijzigingen in bestanden op schijf.

Volexity waarschuwt dat de tool hier weinig uithaalt. De exploitketen past bibliotheekcode alleen in het geheugen aan en zet de gegevens in de configuratieopslag weer terug, waardoor de checker niets verdachts ziet. Volgens Volexity is forensisch onderzoek nodig om sporen van misbruik te vinden.

CISA, de Amerikaanse Cybersecurity and Infrastructure Security Agency, gaf vergelijkbaar advies. De dienst nam CVE-2026-104935 op in zijn catalogus Known Exploited Vulnerabilities en droeg Amerikaanse federale civiele instanties op het lek te dichten en uiterlijk 16 oktober 2026 een forensische triage uit te voeren. Organisaties die aanwijzingen voor een compromittering vinden, moeten de herstelstappen van Ivanti volgen.

Waarom dit ertoe doet

Deze zaak laat zien dat "volledig gepatcht" bij edge-apparaten niet hetzelfde is als veilig. De aanvallers kraakten een actuele release en wisten hun sporen zo goed uit dat ze zelfs aan de integriteitstool van de leverancier ontsnapten. Beheerders die op die tool vertrouwen voor geruststelling, moeten dat deze keer niet doen.

De aanvallen passen ook in een bekend patroon. Apparatuur voor toegang op afstand blijft aanvallers trekken, zoals recente gevallen rond de SonicWall SMA1000, een SAML-zero-day in Citrix NetScaler en gecompromitteerde Fortinet-apparaten laten zien.

Er zijn twee dingen om in de gaten te houden. Het eerste is wanneer Ivanti de oplossing voor het verhogen van rechten uitbrengt. Het tweede is of er meer slachtoffers naar buiten treden. De gestolen BitLocker-sleutels en beheerderswachtwoorden wijzen erop dat vervolginbraken mogelijk zijn.