Ivanti Connect Secure: Zero-Day-Kette verschafft Root-Zugriff

Ein unbekannter Angreifer hat drei Schwachstellen in VPN-Appliances vom Typ Ivanti Connect Secure (ICS) miteinander verkettet, um Root-Zugriff zu erlangen, Zugangsdaten zu stehlen und die Netzwerke der Opfer auszukundschaften. Die Angriffe funktionierten auch gegen Appliances, die zu diesem Zeitpunkt vollständig gepatcht waren.

Volexity hat die Aktivitäten in der ersten Oktoberwoche 2026 entdeckt und führt den Angreifer unter der Bezeichnung UTA0576. Auf der kompromittierten Appliance lief Version 22.8R2.4, zu diesem Zeitpunkt die neueste verfügbare Version.

Laut Ivanti war bei Bekanntwerden des Problems nur eine begrenzte Zahl von Kunden betroffen. Das Unternehmen unterstütze diese Organisationen.

Drei Lücken, eine Kette

Nach Angaben von Volexity beginnt die Kette mit einer Umgehung der Authentifizierung in welcome.cgi. Darauf folgt eine Schwachstelle in wu.cgi, über die sich Dateien schreiben lassen. Der letzte Schritt ist eine Lücke zur Rechteausweitung in der Art und Weise, wie der ICS-Broker dsinvoked den Konfigurationsdaten aus DSCache vertraut. Über diese Lücke kann ein Angreifer Befehle als root ausführen.

Mit Root-Zugriff hatte UTA0576 die volle Kontrolle über die angegriffenen Geräte. Die Angreifer nutzten das, um:

• auf der Appliance gespeicherte Zugangsdaten auszulesen
• einen Teil der Active-Directory-Metadaten abzuziehen
• lokale Admin-Passwörter und BitLocker-Wiederherstellungsschlüssel einzusammeln
• Konfigurationsdaten zu stehlen
• LDAP-Datenverkehr mitzuschneiden, der über die kompromittierte Appliance lief
• Logs zu manipulieren, temporäre Ausführungsspuren zu löschen und auch sonst hinter sich aufzuräumen

Laut Defused Cyber fand der früheste bestätigte Angriff am 1. Oktober statt.

Kriminelle oder Spione?

Volexity geht mit geringer Gewissheit davon aus, dass UTA0576 eher finanzielle Motive verfolgt als Spionage betreibt, und stützt diese Einschätzung darauf, wer ins Visier genommen wurde. Weil der Einbruch entdeckt und gestoppt wurde, konnten die Forscher nicht feststellen, was die Angreifer letztlich wollten.

Bei der Stoßrichtung sind sie sich sicherer. Volexity geht mit hoher Gewissheit davon aus, dass die Aktionen des Angreifers der Vorbereitung auf eine seitliche Ausbreitung und eine umfassendere Kompromittierung des Netzwerks des Opfers dienten.

Patch für einen Teil der Kette verfügbar

Ivanti hat einen Fix für die Authentifizierungsumgehung und die Schwachstelle zur Remote-Codeausführung veröffentlicht, die als CVE-2026-104935 geführt wird. Ein Fix für den Teil der Kette, der die Rechteausweitung betrifft, ist noch in Arbeit.

Nach Angaben des Unternehmens hatte es einen Teil des Problems bereits über sein eigenes Produktsicherheitsprogramm gefunden. Diesen Teil hat es im Juli in Version 25.1.3.0 behoben und war gerade dabei, den Fix auf seine anderen unterstützten Versionen zurückzuportieren, als die Angriffe begannen.

Ivanti rät Kunden, auf eine korrigierte Version zu aktualisieren, ihre Systeme anhand der von Volexity veröffentlichten Kompromittierungsindikatoren zu prüfen und regelmäßig das ICS Integrity Checker Tool auszuführen. Das Tool sucht nach unerwarteten Änderungen an Dateien auf der Festplatte.

Volexity warnt, dass das Tool hier nicht viel bringt. Die Exploit-Kette patcht Bibliothekscode nur im Arbeitsspeicher und stellt die Daten im Konfigurationsspeicher wieder her, sodass der Checker nichts Auffälliges sieht. Laut Volexity ist eine forensische Untersuchung nötig, um Spuren einer Ausnutzung zu finden.

Die US-Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) gab ähnliche Empfehlungen. Sie nahm CVE-2026-104935 in ihren Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) auf und wies die zivilen Bundesbehörden der USA an, die Lücke bis zum 16. Oktober 2026 zu schließen und eine forensische Ersteinschätzung durchzuführen. Organisationen, die Hinweise auf eine Kompromittierung finden, sollten die Wiederherstellungsschritte von Ivanti befolgen.

Warum das wichtig ist

Dieser Fall zeigt, dass "vollständig gepatcht" bei Geräten am Netzwerkrand nicht gleichbedeutend mit sicher ist. Die Angreifer haben eine aktuelle Version geknackt und ihre Spuren so gut verwischt, dass sie dem Integritätstool des Herstellers selbst entgangen sind. Admins, die sich zur Beruhigung auf dieses Tool verlassen, sollten das diesmal nicht tun.

Die Angriffe passen außerdem in ein bekanntes Muster. Fernzugriffstechnik zieht immer wieder Angreifer an, wie jüngste Fälle rund um SonicWall SMA1000, eine Zero-Day-Lücke in Citrix NetScaler SAML und kompromittierte Fortinet-Geräte zeigen.

Zwei Dinge gilt es im Blick zu behalten. Erstens, wann Ivanti den Fix für die Rechteausweitung ausliefert. Zweitens, ob sich weitere Opfer melden. Die gestohlenen BitLocker-Schlüssel und Admin-Passwörter deuten darauf hin, dass Folgeangriffe möglich sind.