Ivanti Connect Secure: Zero-Day-Kette verschafft Root-Zugriff
Ein unbekannter Angreifer hat drei Schwachstellen in VPN-Appliances vom Typ Ivanti Connect Secure (ICS) miteinander verkettet, um Root-Zugriff zu erlangen, Zugangsdaten zu stehlen und die Netzwerke der Opfer auszukundschaften. Die Angriffe funktionierten auch gegen Appliances, die zu diesem Zeitpunkt vollständig gepatcht waren.
Volexity hat die Aktivitäten in der ersten Oktoberwoche 2026 entdeckt und führt den Angreifer unter der Bezeichnung UTA0576. Auf der kompromittierten Appliance lief Version 22.8R2.4, zu diesem Zeitpunkt die neueste verfügbare Version.
Laut Ivanti war bei Bekanntwerden des Problems nur eine begrenzte Zahl von Kunden betroffen. Das Unternehmen unterstütze diese Organisationen.
Drei Lücken, eine Kette
Nach Angaben von Volexity beginnt die Kette mit einer Umgehung der Authentifizierung in welcome.cgi. Darauf folgt eine Schwachstelle in wu.cgi, über die sich Dateien schreiben lassen. Der letzte Schritt ist eine Lücke zur Rechteausweitung in der Art und Weise, wie der ICS-Broker dsinvoked den Konfigurationsdaten aus DSCache vertraut. Über diese Lücke kann ein Angreifer Befehle als root ausführen.