Ivanti hat zwei weitere Zero-Day-Schwachstellen in Connect Secure geschlossen, die Angreifer seit mindestens dem 1. Oktober 2026 als Teil einer Angriffskette ausnutzen. Die Sicherheitslücken CVE-2026-111357 und CVE-2026-118527 ergänzten dabei den bereits im Oktober gepatchten Authentifizierungs-Bypass CVE-2026-104935.
Betroffen sind nach den vorliegenden Herstellerangaben Connect-Secure-Versionen 25.1.1.2 und älter sowie 22.8R2.5 und älter. Die neuen Fehler sind in 25.1.1.3 und 22.8R2.6 behoben. Betreiber öffentlich erreichbarer Gateways sollten nicht nur den Versionsstand prüfen: Weil die Angriffe ohne dauerhaft installierte Malware auskamen und Protokolle manipuliert wurden, beantwortet ein erfolgreiches Update nicht die Frage, ob das Gerät zuvor kompromittiert war.
Drei Schwachstellen bildeten einen Angriffspfad
Die drei CVEs erfüllen innerhalb der Angriffskette unterschiedliche Aufgaben. CVE-2026-104935 ist ein Authentifizierungs-Bypass durch Spoofing mit einem CVSS-Wert von 8,6. Ein entfernter, nicht authentifizierter Angreifer kann darüber beliebige Befehle ausführen. Betroffen waren ICS 25.1.1.1 und älter, 25.1.2.2 und älter sowie 22.8R2.4 und älter. Ivanti stellte dafür im Oktober unter anderem die Versionen 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5 bereit.
Die drei Schwachstellen der Ivanti-Angriffskette
Die Grafik ordnet den Authentifizierungs-Bypass, den authentifizierten Datei-Upload und die lokale Rechteausweitung bis zur beobachteten Root-Codeausführung ein.
Die nun separat behobene CVE-2026-111357 ist eine lokale Rechteausweitung mit einem CVSS-Wert von 8,8. Für sich genommen setzt sie einen lokal authentifizierten Angreifer voraus. CVE-2026-118527 erreicht einen CVSS-Wert von 4,3 und erlaubt einem authentifizierten Angreifer, Dateien unter einem bekannten Pfad auf dem Datenträger abzulegen.
Isoliert betrachtet haben die beiden neuen Schwachstellen damit Voraussetzungen, welche die Schlagzeile relativieren: Sie ermöglichen nicht jeweils aus eigener Kraft einen unangemeldeten Angriff aus dem Internet. In Verbindung mit dem Authentifizierungs-Bypass änderte sich die Lage jedoch. Volexity beobachtete, wie der als UTA0576 bezeichnete Akteur die Fehler zu unauthentifizierter Codeausführung mit Root-Rechten verband. Eine Lücke beseitigte die Zugangshürde, die weiteren Fehler erweiterten die Möglichkeiten auf dem Gerät.
Der erste Patch schloss den Einstieg, nicht alle Komponenten
Ivanti veröffentlichte den Fix für CVE-2026-104935 zuerst, weil dieser nach Darstellung des Herstellers den primären Ausnutzungspfad beseitigte und für unterstützte Versionen bereits die Qualitätssicherung durchlief. Die lokale Rechteausweitung wurde erst im Zuge der Untersuchung der Angriffe erkannt. Die Entscheidung verkürzte die Zeit bis zum Schutz gegen den wichtigsten Einstieg, hinterließ aber einen zweiten Update-Schritt für die übrigen Teile der Angriffskette.
Das ist für Betreiber mehr als eine formale Ergänzung der Patch-Liste. Ein Gerät mit dem ersten Oktober-Update war gegen den damals adressierten Authentifizierungs-Bypass aktualisiert, aber noch nicht gegen CVE-2026-111357 und CVE-2026-118527. Der korrekte Zielzustand hängt deshalb nicht am Hinweis „Oktober-Patch installiert“, sondern an der tatsächlich eingesetzten Version und dem jeweiligen Softwarezweig.
Von einer fortbestehenden unauthentifizierten Angriffskette nach Installation des ersten Fixes sollte daraus nicht automatisch ausgegangen werden: Ivanti bezeichnet den Patch für CVE-2026-104935 ausdrücklich als Beseitigung des primären Ausnutzungspfads. Die beiden später behobenen Fehler verlangen isoliert eine authentifizierte beziehungsweise lokale Position. Trotzdem bleiben sie relevant, sobald ein Angreifer auf anderem Weg Zugriff besitzt oder das System bereits vor dem Update kompromittiert wurde.
Die Angreifer hinterließen keine gewöhnliche Web-Shell
Die von Volexity untersuchten Angriffe unterschieden sich von vielen früheren Kompromittierungen exponierter VPN- und Fernzugriffsgeräte. UTA0576 installierte demnach weder eine Web-Shell noch klassische persistente Malware. Stattdessen wurde das Gerät für jeden auszuführenden Befehl erneut ausgenutzt. Die Aktivitäten liefen im Speicher, während der Akteur Protokolle veränderte und dadurch Ivantis Integrity Checker Tool umging.
Zu den beobachteten Folgeaktivitäten gehörten Host-Aufklärung, Datenabfluss und der Diebstahl von Zugangsdaten. Betroffen waren den verifizierten Untersuchungsergebnissen zufolge unter anderem Active-Directory-Zugangsdaten, LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel. Damit kann die Wirkung eines erfolgreichen Angriffs über das Connect-Secure-Gerät hinausreichen: Ein später gepatchtes Gateway macht bereits entwendete Geheimnisse nicht wieder vertrauenswürdig.
Was Betreiber jetzt konkret prüfen müssen
Erstens: Installierte Versionen sind mit den neuen Zielständen abzugleichen. Für die als betroffen genannten Zweige enthalten 25.1.1.3 und 22.8R2.6 die Fixes für CVE-2026-111357 und CVE-2026-118527. Wegen unterschiedlicher Versionszweige sollte der konkrete Upgrade-Pfad zusätzlich anhand des Ivanti-Advisory geprüft werden.
Zweitens: Ein öffentlich erreichbares oder seit Anfang Oktober exponiertes System sollte nicht allein aufgrund eines unauffälligen Integrity-Checker-Ergebnisses als sauber gelten. Die beobachtete Manipulation von Protokollen und die speicherresidente Arbeitsweise begrenzen den Aussagewert einer einzelnen lokalen Prüfung. Auffälligkeiten erfordern eine forensische Untersuchung unter Einbeziehung externer Telemetrie, etwa Netzwerk-, Authentifizierungs- und zentral gesicherter Protokolldaten.
Drittens: Gibt es Hinweise auf eine Kompromittierung, muss die Reaktion auch die über das Gateway erreichbaren Identitäten und Geheimnisse einschließen. Dazu gehören je nach Umgebung der Austausch betroffener Zugangsdaten sowie die Prüfung von administrativen Konten, LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln. Patchen verhindert weitere Ausnutzung, widerruft aber keine zuvor gestohlenen Berechtigungen.
Die US-Sicherheitsbehörde CISA führt alle drei CVEs in ihrem Katalog aktiv ausgenutzter Schwachstellen. CVE-2026-104935 wurde am 13. Oktober aufgenommen, CVE-2026-111357 und CVE-2026-118527 folgten am 30. Oktober. Für US-Bundesbehörden setzte CISA für CVE-2026-111357 den 2. November und für CVE-2026-118527 den 13. November 2026 als Behebungsfristen.
Am Netzwerkrand sind Patch- und Vorfallstatus zwei Dinge
Shadowserver erfasst mehr als 5.000 aus dem Internet erreichbare Connect-Secure-Instanzen. Wie viele davon bereits aktualisiert wurden, ist nicht bekannt. Ihre Position macht die Systeme besonders attraktiv: Ein Fernzugriffs-Gateway ist absichtlich von außen erreichbar und verarbeitet zugleich Zugänge in interne Netze. Ein erfolgreicher Angriff landet deshalb nicht auf einem beliebigen Endgerät, sondern an einem Übergang mit wertvollen Berechtigungen.
Seit November 2021 hat CISA 38 Schwachstellen in Ivanti-Produkten als aktiv ausgenutzt eingestuft; zwölf davon wurden auch bei Ransomware-Angriffen verwendet. Die aktuelle Kette ergänzt diese Historie um eine operative Lehre: Bei Edge-Geräten müssen Unternehmen zwei Zustände getrennt behandeln. Der aktuelle Patch-Stand beschreibt, ob der bekannte Angriff heute noch funktioniert. Ob Zugangsdaten bereits abgeflossen sind und das Netzwerk weiterhin über andere Wege erreichbar ist, lässt sich daraus nicht ableiten.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
