Ivanti Connect Secure Zero-Day: CVE-2026-104935 wird ausgenutzt

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Beim Ivanti Connect Secure Zero-Day CVE-2026-104935 ist nicht die Lücke das Bemerkenswerte, sondern was danach passierte: Der Angreifer kam über das VPN-Gateway an die auf dem Gerät gespeicherten Active-Directory-Zugangsdaten – und durchsuchte damit das Verzeichnis gezielt nach LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln. Ivanti hat am 13. Oktober 2026 gepatcht, CISA hat die Lücke am selben Tag in den Katalog der bekannt ausgenutzten Schwachstellen aufgenommen – mit Frist 16. Oktober für US-Bundesbehörden.

Was an CVE-2026-104935 bekannt ist

Die NVD führt die Lücke seit dem 13. Oktober 2026. Ivanti bewertet sie als CVSS 3.1 mit 8.6 (hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. Eingeordnet ist sie als Authentication Bypass by Spoofing (CWE-290): Ein nicht angemeldeter Angreifer aus dem Netz kann beliebige Befehle ausführen. Dass es nicht 9.8 sind, liegt allein an der Bewertung der Integritäts- und Verfügbarkeitsfolgen als „niedrig“ – CISA selbst stuft die Lücke im SSVC-Schema als aktiv ausgenutzt, automatisierbar und mit „totalem“ technischen Impact ein. Wer nur nach Score priorisiert, unterschätzt sie.

Laut CVE-Beschreibung sind Versionen vor 25.1.3.0 betroffen; Version 22.7R2.14 und älter sind es ausdrücklich nicht.

Gefunden hat die Sache Volexity, und zwar auf dem harten Weg. Anfang Oktober untersuchte das Team einen Vorfall bei einem Kunden und fand als Ursache eine Appliance, die zu diesem Zeitpunkt voll gepatcht war – Version 22.8R2.4, Build 19097. Ab dem 3. Oktober 2026 nutzte ein bis dahin unbekannter Akteur, den Volexity als UTA0576 führt, das Gerät aus.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Drei Lücken in Kette – eine ist noch offen

Was Volexity rekonstruierte, war keine einzelne Schwachstelle, sondern eine Kette aus drei:

• ein Authentifizierungs-Bypass in welcome.cgi: Die öffentlich erreichbare URL entscheidet über die Zugriffserlaubnis, ein mitgeschickter Header über das tatsächliche Ziel-Skript;
• eine Schreib-Lücke in wu.cgi, bei der eine hochgeladene Datei kurz auf der Platte liegt, bevor die Prüfung sie löscht – ein Wettlauf, den der Angreifer mit parallelen Anfragen gewinnen kann – im untersuchten Fall gelang es;
• eine Rechteausweitung über den privilegierten Dienst dsinvoked, der seiner Konfigurationsablage zu sehr vertraut und am Ende ein fremdes Skript als root startet.

Der Patch vom 13. Oktober schließt die ersten zwei Punkte, die unter CVE-2026-104935 zusammengefasst sind. Die Rechteausweitung ist laut Volexity noch nicht behoben; Ivanti will sie in einer späteren Version nachliefern. Wer patcht, nimmt dem Angreifer also den Weg hinein – nicht den Weg nach oben, falls er anders hineinkommt.

Was das für dich bedeutet

Aus CISO-Sicht ist das kein VPN-Problem, sondern ein Identitäts-Problem. Ein VPN-Gateway authentifiziert gegen das Verzeichnis, also liegen dort Domänen-Zugangsdaten. UTA0576 hat genau dort angesetzt: zuerst die auf dem Gerät gespeicherten LDAP-Credentials, dann per Dienstkonto AD-Abfragen nach LAPS-Passwörtern, BitLocker-Recovery-Informationen und Attributen mit Klartext-Passwörtern, dazu Password Spraying und einen Mitschnitt des LDAP-Verkehrs auf Port 389. Volexity hält mit hoher Zuversicht fest, dass abfragbare AD-Daten exfiltriert wurden; welche Geheimnisse davon tatsächlich abgeflossen sind, ist öffentlich nicht beziffert. Nach über zwei Jahrzehnten Active Directory sage ich das deutlich: Wenn ein VPN-Dienstkonto LAPS-Passwörter und BitLocker-Schlüssel lesen kann, ist das ein Berechtigungsfehler, der unabhängig von dieser CVE existiert – die Lücke hat ihn nur sichtbar gemacht.

Der zweite Punkt ist unbequemer. Der Angreifer hat seine Spuren aus dem Ivanti-Debuglog und dem Linux-Audit-Log entfernt, die Bibliothek nur im Speicher verändert und den Zustand danach zurückgesetzt. Volexity hält darum ausdrücklich fest, dass Ivantis Integrity Checker Tool diese Kompromittierung nicht findet. Ein grüner ICT-Lauf ist also kein Unbedenklichkeitsnachweis – wer das verwechselt, hakt den Vorfall ab, bevor er begonnen hat. Auch CISA markiert den Eintrag mit der Anforderung einer forensischen Triage. Und: Es wurde keine Backdoor und keine Webshell hinterlegt, jeder einzelne Befehl lief über die Exploit-Kette selbst. Die üblichen Persistenz-Suchen greifen hier nicht.

Konkret zu tun

• Patchen, und zwar diese Woche. Die behobenen Versionen sind laut CVE-Datensatz 25.1.3.0 und 25.1.3.1 sowie 22.8R2.5 für den 22.8-Zweig – wer auf 22.8R2.4 läuft, braucht also keinen Sprung auf 25.1.3.0. Betroffen sind laut Volexity 25.1.1 und älter, 25.1.2 sowie 22.8R2.4.
• Zugangsdaten danach rotieren. Alles, was auf der Appliance gespeichert war, gilt als kompromittiert – vor allem das AD-Dienstkonto für die LDAP-Anbindung. Ein Patch holt gestohlene Passwörter nicht zurück.
• Die Rechte dieses Dienstkontos prüfen. Es braucht Leserechte für die Authentifizierung, nicht für msLAPS-Password bzw. msLAPS-EncryptedPassword (Windows LAPS), das alte ms-Mcs-AdmPwd (Legacy-LAPS) oder BitLocker-Recovery-Objekte. Das ist die Aufgabe, die nach dem Patch den eigentlichen Unterschied macht.
• Selbst nachsehen statt dem Tool glauben. Volexity empfiehlt, auf auffällig viele Anfragen an /dana-na/auth/url_default/welcome.cgi zu achten und besonders auf Abweichungen zwischen URL-Pfad und dem Header X-DSCGI-PATH. Dazu ein Blick ins /tmp-Verzeichnis. Indikatoren stellt Volexity öffentlich auf GitHub bereit.
• Password Spraying ins Leere laufen lassen. Gegen das Durchprobieren von Passwörtern hilft dauerhaft nur phishing-resistente Mehr-Faktor-Authentifizierung; welche Hardware-Schlüssel dafür taugen, habe ich im Ratgeber zu FIDO2-Security-Keys zusammengestellt.

Die Kette passt in ein Muster, das sich 2026 wiederholt: Das Einfallstor ist die Appliance am Rand, das Ziel ist das Verzeichnis dahinter. Bei Citrix NetScaler lief es im September ähnlich, und Volexity verweist selbst auf einen zweiten Akteur, der auf SonicWall-SMA-Appliances dieselbe Masche mit mitgeschnittenem Klartext-Verkehr fuhr. Volexity hält übrigens mit mittlerer Zuversicht fest, dass UTA0576 Sprachmodelle für Exploit-Entwicklung und Nacharbeit genutzt haben dürfte – eine Einschätzung, keine Feststellung, aber eine, die zur Komplexität dieser Kette passt.

Quellen

• Volexity: A Series of Unauthenticated Events – Chained Exploitation of Ivanti Connect Secure Zero-Days (13.10.2026)
• NVD: CVE-2026-104935
• CISA: KEV-Eintrag zu CVE-2026-104935
• Ivanti: Security Advisory Connect Secure CVE-2026-104935