Ivanti Connect Secure: Zwei weitere Zero-Days in der CISA-KEV

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Wer seine Ivanti Connect Secure-Appliance im Oktober gepatcht hat, ist noch nicht fertig. Ivanti hat sein Advisory am 29. Oktober 2026 um zwei weitere Schwachstellen erweitert, CVE-2026-111357 und CVE-2026-118527. Beide wurden vor ihrer Offenlegung als Zero-Days ausgenutzt. Die US-Behörde CISA hat sie am 30. Oktober in ihren Katalog bekannt ausgenutzter Lücken (KEV) aufgenommen. Neu ist dabei vor allem der Patch: Die Rechteausweitung CVE-2026-111357 hat Volexity schon am 13. Oktober öffentlich beschrieben, eine Korrektur gab es bis zum 29. Oktober nicht.

Die KEV-Fristen für US-Bundesbehörden sind streng: CVE-2026-111357 war bis 2. November 2026 zu beheben – die Frist ist also bereits abgelaufen –, CVE-2026-118527 bis 13. November. In Europa bindet das niemanden, taugt aber als Maßstab für die eigene Dringlichkeit.

Was bei Ivanti Connect Secure passiert ist

Die Lücken wirken einzeln unspektakulär, in Kombination aber nicht. CVE-2026-111357 führt Ivanti als fehlende Authentifizierung einer kritischen Funktion (CWE-306, zusätzlich CWE-862 und CWE-345); der CVE- und NVD-Datensatz klassifiziert sie dagegen als CWE-829. Praktisch erlaubt sie einem lokal angemeldeten Angreifer die Rechteausweitung bis root. CVE-2026-118527 fällt unter „vorhersagbare Bezeichner“ (CWE-340) und erlaubt einem angemeldeten Angreifer aus der Ferne, eine Datei an einen bekannten Pfad auf die Appliance zu schreiben.

Entscheidend ist die Verkettung mit CVE-2026-104935, das Authentifizierungs-Bypass und Codeausführung zugleich umfasst – laut CISA-Eintrag kann ein unauthentifizierter Angreifer aus der Ferne beliebige Befehle ausführen. Darüber haben wir am 14. Oktober berichtet: Ivanti Connect Secure Zero-Day: CVE-2026-104935 wird ausgenutzt. Aus drei Einzelschritten wird so unauthentifizierter Root-Zugriff auf eine Appliance, die am Netzwerkrand steht.

Volexity beschreibt technisch drei Schritte: den Bypass in welcome.cgi, ein Dateischreiben samt Race Condition in wu.cgi und die Rechteausweitung über den dsinvoked-Broker. Die ersten beiden laufen gemeinsam unter CVE-2026-104935 – CVE-Zählung und Schrittzählung sind also nicht dasselbe. Die Angriffe hat Volexity untersucht und der Gruppe UTA0576 zugeordnet; Beginn war laut deren Analyse der 3. Oktober 2026 auf einem Gerät mit Version 22.8R2.4. Beobachtet wurden Diebstahl von Zugangsdaten und Abfragen im Active Directory nach LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln. Volexity bewertet das als Vorbereitung einer breiteren Kompromittierung – das eigentliche Ziel blieb unbekannt, weil die Operation vorher auffiel.

Betroffene und korrigierte Versionen

• CVE-2026-111357 und CVE-2026-118527: betroffen 25.1.1.2 und früher, behoben in 25.1.1.3; betroffen 22.8R2.5 und früher, behoben in 22.8R2.6.
• Die Oktober-Korrekturen 25.1.1.2 und 22.8R2.5 schließen die beiden neuen Lücken nicht.
• Laut Ivanti ist der Sprung von 22.8.X auf 25.1.1.3 oder neuer der empfohlene Weg; wer nicht sofort migrieren kann, bleibt zunächst bei 22.8R2.6.

Bei der Einstufung widersprechen sich die Quellen, wie auch Rapid7 anmerkt: Ivanti bewertet CVE-2026-111357 mit CVSSv3.1 8.8, der CVE-Eintrag und das NVD kommen mit höherer Angriffskomplexität und unverändertem Scope auf 7.0. CVE-2026-118527 trägt von Ivanti nur 4.3 (CVSSv3.0). Für CVE-2026-118527 lag am 3. November 2026 noch kein NVD-Datensatz vor.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Genau an dieser Score-Diskussion zeigt sich, warum CVSS als Priorisierungsmaßstab allein nicht trägt. Eine 4.3er-Lücke klingt nach „nächster Wartungszyklus“. In der Kette ordnet Ivanti ihr in seinem aktualisierten Advisory den Dateiupload zu – Volexitys Analyse nennt CVE-2026-118527 allerdings nicht. Wer nach Score patcht, patcht hier zuletzt. Wer nach KEV-Eintrag und Ausnutzungslage patcht, patcht sofort – und das ist in diesem Fall richtig.

Der zweite Punkt ist unangenehmer: Patchen allein reicht nicht. Die Angriffe laufen seit Anfang Oktober, der Fix für die Rechteausweitung kam erst Ende Oktober – für CVE-2026-104935 gab es ihn schon am 13. Oktober. Zwischen beiden Daten liegt ein Fenster, in dem ein Gerät sauber aussehen und trotzdem kompromittiert sein kann. Volexity berichtet ausdrücklich, dass die beobachteten Aktivitäten dem Integrity Checker Tool von Ivanti entgehen – ein unauffälliges Prüfergebnis ist also kein Freispruch. Und was aus einer solchen Appliance abfließt, sind nicht Dateien, sondern Identitäten: VPN-Zugänge, Dienstkonten, LAPS-Passwörter, BitLocker-Schlüssel. Aus meiner Erfahrung mit Active Directory ist das der teuerste Teil eines solchen Vorfalls, weil er nach dem Patch weiterwirkt.

Konkrete Schritte für Administratoren

1. Version feststellen und außerplanmäßig patchen. Ziel ist 25.1.1.3 oder 22.8R2.6. Ein im Oktober eingespielter Stand genügt nicht.
2. Vor dem Neustart Beweise sichern. Speicherabbild und Logs ziehen, bevor du die Appliance rebootest oder zurücksetzt – ein Reset vernichtet genau die Spuren, die du später brauchst.
3. Gezielt nachsehen. Volexity nennt Anfragen an /dana-na/auth/url_default/welcome.cgi mit abweichendem Header X-DSCGI-PATH als Hinweis und stellt YARA-Regeln sowie eine IOC-Liste bereit. Prüfe /home/runtime/dlogs/debuglog und /var/log/audit/audit.log auch auf Lücken, also auf selektiv gelöschte Einträge. Als Artefakte nennt Volexity unter anderem Skripte in /tmp/ (etwa ml.py, rq5.py, spray_hits.json), Dateien in /data/.icscap/ sowie /home/runtime/tmp/ics-root-run-inband-*.pl.
4. Zugangsdaten rotieren. Lokale Appliance-Konten, VPN-Dienstkonten, alles was von dort aus im AD abgefragt werden konnte. Bei Verdacht auf LAPS-Abfragen: LAPS-Passwörter neu setzen lassen und BitLocker-Wiederherstellungsschlüssel neu erzeugen.
5. Danach erst über Härtung nachdenken. Administrativer Zugriff auf die Appliance gehört hinter phishing-resistente Mehrfaktor-Anmeldung. Wer dafür Hardware braucht, findet in unserem Ratgeber zu Hardware-Security-Keys mit FIDO2 die praxistauglichen Modelle.

Für Betriebe ohne eigenes Security-Team bleibt eine unbequeme Grundsatzfrage: Eine VPN-Appliance am Netzwerkrand, die 2024, 2025 und jetzt 2026 über Zero-Days angegriffen wurde, ist eine Komponente, die man nicht nur patchen, sondern auch überwachen muss. Wer das nicht leisten kann, sollte ernsthaft prüfen, ob der Fernzugriff nicht besser über einen Dienst läuft, dessen Betrieb jemand anderes verantwortet.

Quellen

• Ivanti: Security Advisory Ivanti Connect Secure (CVE-2026-104935, aktualisiert am 29.10.2026)
• CISA: Known Exploited Vulnerabilities Catalog
• Rapid7: Additional Ivanti Connect Secure zero-days exploited in the wild (02.11.2026)
• Volexity: Chained Exploitation of Ivanti Connect Secure Zero-Days
• NVD: CVE-2026-111357
• Help Net Security: CISA to federal agencies – remediate exploited Ivanti Connect Secure vulnerabilities (02.11.2026)