Ivanti Connect Secure Patches schließen ausgenutzte exploit chain für root access
Ivanti Connect Secure Patches beheben nun alle drei Schwachstellen einer exploit chain, die genutzt wurde, um ohne Authentifizierung root access zu erlangen. Mit root access erhält ein Angreifer die höchste Kontrollebene über ein System. Laut Untersuchungen von Volexity nutzte der zuvor nicht dokumentierte und als UTA0576 geführte Bedrohungsakteur die Schwachstellen gemeinsam, um Zugangsdaten zu extrahieren, betroffene Hosts zu untersuchen und nach sensiblen administrativen Informationen zu suchen.
Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) nahm am Freitag zwei der Schwachstellen in ihren Known Exploited Vulnerabilities (KEV)-Katalog auf. Der Katalog führt Sicherheitslücken auf, die laut CISA bei realen Angriffen ausgenutzt wurden. Bei den Einträgen handelt es sich um CVE-2026-111357 mit einem Common Vulnerability Scoring System (CVSS)-Wert von 8,8 und CVE-2026-118527 mit einem Wert von 4,3. CVSS ist eine Zehn-Punkte-Skala zur Beschreibung des Schweregrads einer Schwachstelle.
CVE-2026-111357 wird durch eine fehlende Authentifizierung für eine kritische Funktion verursacht. Die Schwachstelle kann es einem lokal authentifizierten Angreifer – also jemandem, der bereits Zugriff auf das betroffene System hat – ermöglichen, privilege escalation durchzuführen und Berechtigungen zu erhalten, die über die ursprünglich gewährten hinausgehen. CVE-2026-118527 betrifft vorhersehbare Zahlen oder Identifikatoren. Ein entfernt zugreifender authentifizierter Angreifer kann die Schwachstelle ausnutzen, um von ihm kontrollierte Inhalte an einem bekannten Speicherort auf der Festplatte des Systems abzulegen.
Volexity berichtete bereits im Oktober 2026, dass UTA0576 diese beiden Schwachstellen mit CVE-2026-104935 kombinierte, einem authentication bypass mit einem CVSS-Wert von 8,6. Ein authentication bypass ermöglicht es, die normale Identitätsprüfung zu umgehen. CISA nahm diese Schwachstelle am 13. Oktober 2026 in den KEV-Katalog auf. Zusammen ermöglichten die drei Schwachstellen authentication bypass, remote code execution (RCE), also das Ausführen von Anweisungen auf einem anderen System, sowie privilege escalation. Die vollständige exploit chain verschaffte dem Angreifer unauthentifizierte root-level code execution.
Volexity beobachtete Aktivitäten, die sich von Angriffen unterschieden, bei denen eine ausgenutzte Appliance zur Installation von Malware oder einer web shell verwendet wird – einer verborgenen Schnittstelle zur Fernsteuerung eines kompromittierten Systems. Stattdessen extrahierte UTA0576 Zugangsdaten und eine begrenzte Menge an Active Directory-Metadaten. Active Directory ist das System, das viele Organisationen zur Verwaltung von Mitarbeiterkonten, Computern und Zugriffsberechtigungen verwenden. Der Akteur führte außerdem eine Untersuchung der Hosts durch und suchte nach Administratorpasswörtern sowie BitLocker-Wiederherstellungsschlüsseln, mit denen der Zugriff auf verschlüsselte Laufwerke wiederhergestellt werden kann.
Als Einzelheiten zu den Aktivitäten erstmals öffentlich wurden, entwickelte Ivanti noch Korrekturen für die lokale privilege escalation-Schwachstelle innerhalb der exploit chain. Das Unternehmen erklärte, eine Korrektur für CVE-2026-104935 sei bereits entwickelt worden und habe für unterstützte Releases die Qualitätssicherung durchlaufen, als das privilege escalation-Problem erkannt wurde. Ivanti entschied sich dagegen, das verfügbare Update zu verzögern, weil es den vom Unternehmen als primären Angriffsweg beschriebenen Zugang schloss.
Patches für CVE-2026-111357 und CVE-2026-118527 sind jetzt verfügbar. Systeme mit Version 25.1.1.2 oder einer älteren Version desselben Versionszweigs sollten auf 25.1.1.3 aktualisiert werden. Systeme mit 22.8R2.5 oder einer älteren Version dieses Versionszweigs sollten auf 22.8R2.6 aktualisiert werden. Ivanti erklärte außerdem, einen Teil der Schwachstelle unabhängig durch sein Produktsicherheitsprogramm entdeckt und im Juli-Release, Version 25.1.3.0, behoben zu haben. Das Unternehmen arbeitete daran, diese Korrektur auf andere unterstützte Versionen zu übertragen, als die Ausnutzung stattfand.
Ivanti zufolge behebt das neueste Release sämtliche Schwachstellen, die in der beobachteten exploit chain verwendet wurden. Behörden der U.S. Federal Civilian Executive Branch müssen die Korrektur für CVE-2026-111357 bis zum 2. November 2026 und die Korrektur für CVE-2026-118527 bis zum 13. November 2026 anwenden. Andere Organisationen unterliegen diesen bundesbehördlichen Fristen nicht. Die Aufnahme in den KEV-Katalog bestätigt jedoch, dass es sich um aktiv ausgenutzte Sicherheitslücken und nicht lediglich um theoretische Schwachstellen handelt.
Unternehmen, die Ivanti Connect Secure einsetzen, sollten zunächst feststellen, welches Release installiert ist, auf die zutreffende korrigierte Version aktualisieren und untersuchen, ob das System oder zugehörige Konten unerwartete Aktivitäten aufweisen. Da der beobachtete Angreifer Zugangsdaten extrahierte und nach Administratorpasswörtern suchte, schließt das Einspielen der Patches zwar die Software-Schwachstellen, belegt für sich allein jedoch nicht, dass zuvor offengelegte Zugangsdaten weiterhin sicher sind. Organisationen, die diese Art von Infrastrukturrisiko bewerten, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen.
Das zentrale Risiko liegt darin, wie sich drei unterschiedliche Schwachstellen gegenseitig verstärken. Der anfängliche authentication bypass beseitigt die Notwendigkeit einer gültigen Anmeldung, remote code execution ermöglicht die Ausführung vom Angreifer bereitgestellter Anweisungen und privilege escalation hebt deren Berechtigungen auf die root-Ebene an. Daher ist es wichtig, ein Release einzuspielen, das die vollständige exploit chain behebt, statt eine der drei Schwachstellen isoliert zu betrachten.