Ivanti Connect Secure zero-day chain verschafft root access
Ivanti Connect Secure zero-days wurden laut der Sicherheitsfirma Volexity in einer attack chain genutzt, die es einem unauthenticated attacker ermöglichte, Befehle als root auszuführen, der höchsten Kontrollebene auf der VPN appliance. Ivanti teilte am 13. Oktober mit, dass es von begrenzter exploitation in the wild wisse, und forderte Kunden mit betroffenen Versionen auf, sofort zu handeln. Für zwei der flaws sind fixes verfügbar, während Volexity sagte, ein fix für das dritte Problem werde noch in einem künftigen release in den kommenden Wochen erwartet.
Volexity sagte, es habe die flaws an Ivanti gemeldet, nachdem es eine Kunden-appliance untersucht hatte. Dieses System war zum Zeitpunkt des Angriffs vollständig gepatcht und lief mit Connect Secure Version 22.8R2.4. Die Aktivität begann am 3. Oktober und wird von Volexity als UTA0576 verfolgt. Ivanti Connect Secure ist eine VPN appliance, das heißt, sie stellt remote access in ein Organisationsnetzwerk bereit, sodass ein compromise weit über das Gerät selbst hinaus Bedeutung haben kann.
Die ersten beiden flaws werden unter CVE-2026-104935 zusammengefasst. Ivanti beschreibt sie als authentication bypass und remote code execution. Einfach gesagt lässt der authentication bypass einen Angreifer an der normalen Login-Anforderung vorbeikommen, während remote code execution es ihm ermöglicht, die appliance Befehle ausführen zu lassen. Volexity sagte, diese beiden flaws zusammen erlaubten es, code als appliance cgi-server user auszuführen. Ein dritter flaw eskaliert diesen Zugriff dann zu root und gibt dem Angreifer damit die mächtigste Kontrollebene auf der appliance.
Der von Ivanti eingereichte CVE record besagt, dass Connect Secure vor Version 25.1.3.0 betroffen ist. Er führt Version 22.7R2.14 oder früher als nicht betroffen auf und nennt außerdem die Versionen 22.8R2.5, 25.1.3.0 und 25.1.3.1 als nicht betroffen. Die release notes für 25.1.3.0 sind auf Juli 2026 datiert, sodass Kunden, die bereits auf diesem release sind, außerhalb des im CVE record beschriebenen betroffenen Bereichs liegen. Ivanti bewertet CVE-2026-104935 mit 8,6 von 10 auf der CVSS severity scale, einem Bewertungssystem zum Vergleich der Schwere von vulnerabilities.
Die U.S. Cybersecurity and Infrastructure Security Agency markiert in ihrem Eintrag im CVE record die exploitation als active und den technischen impact als total. Das entspricht dem zentralen Risiko, das Volexity beschreibt: Ein Angreifer musste sich nicht anmelden, bevor er die flaws verkettete, und die chain endete mit command execution auf root-Ebene. Volexitys Bericht sagt nicht, welches Risiko der noch nicht behobene privilege escalation flaw auf einer appliance birgt, bei der die ersten beiden flaws bereits behoben wurden.
Ivanti rät Kunden zum upgrade und dazu, sein Integrity Checker Tool regelmäßig auszuführen. Volexity sagte jedoch, dass das Tool diese spezifische chain nicht erkannt habe, weil der exploit library code nur im memory veränderte und die geänderten configuration data wiederherstellte. Volexity sagte außerdem, der Angreifer habe Schritte unternommen, die darauf abzielten, eine detection durch das Tool zu vermeiden. Daher erfordert die Bestätigung eines compromise laut Volexity forensic investigation, einschließlich network und memory forensics.
Die von Volexity gemeldeten Anzeichen stammen aus dem einzelnen incident, den das Unternehmen untersuchte. Dazu gehören ungewöhnlich hohe Zahlen von requests an den URL path /dana-na/auth/url_default/welcome.cgi sowie requests, die den HTTP header X-DSCGI-PATH mit einem Wert enthielten, der nicht zum URL path passte. Volexity nannte außerdem das directory /data/.icscap/ und die IP address 108.165.147[.]64 als indicators aus diesem incident. Diese Details sollten als incident indicators behandelt werden, nicht als Beweis dafür, dass andere Angriffe identisch aussehen würden.
Im untersuchten Fall sagte Volexity, der Angreifer habe gespeicherte credentials gestohlen, darunter LDAP domain credentials. LDAP, oder Lightweight Directory Access Protocol, wird häufig genutzt, um users und permissions in einem Organisations-directory nachzuschlagen. Volexity sagte außerdem, der Angreifer habe Active Directory nach passwords durchsucht und password-spraying attacks gegen accounts durchgeführt. Password spraying bedeutet, dass ein Angreifer common passwords über viele accounts hinweg ausprobiert, statt wiederholt nur ein einzelnes account anzugreifen. Volexity sagte, es sei keine backdoor oder web shell zurückgelassen worden, und der Angreifer habe die vollständige exploit chain für jeden Befehl erneut ausgeführt.
Für Website-Betreiber und IT-Teams ist die praktische Sorge, dass eine VPN appliance oft an einem vertrauenswürdigen entry point in interne Systeme sitzt. Wenn sie compromised ist, kann der Angreifer möglicherweise credentials und directory services erreichen, die Websites, Hosting-Control-Panels, Back-office-Anwendungen und Cloud-Administration unterstützen. Die Berichte von Ivanti und Volexity nennen keinen temporären workaround für Kunden, die noch nicht upgraden können. Sie sagen auch nicht, ob ein upgrade den Zugriff entfernt, den ein Angreifer möglicherweise bereits erlangt hat.
Volexity bewertete mit low confidence, dass das Motiv von UTA0576 eher kriminell als espionage sei. Weder Ivanti noch Volexity sagten, wie viele Kunden angegriffen wurden. Damit enthält die öffentliche Dokumentation klare Belege für begrenzte exploitation und einen dokumentierten incident, aber keine bestätigte Opferzahl.
Derselbe Ivanti-Beitrag behandelt auch fixes für Xtraction und Neurons Patch for Intune. Ivanti sagte, es sei nicht bekannt, dass diese flaws exploited würden. Zu den Problemen gehören CVE-2026-106042 in Xtraction vor Version 2026.4 und CVE-2026-109412 in Neurons Patch for Intune, die jeweils von Ivanti mit 9,9 von 10 bewertet werden.
Organisationen, die exposure durch VPN- und Infrastruktur-incidents prüfen, können AEU-I für security-first IT, Infrastruktur und Consulting nutzen, was direkt relevant ist, wenn remote-access systems Teil der Umgebung sind. Vorerst sollten betroffene Connect Secure-Kunden die upgrade guidance priorisieren, Beweise sichern, wenn compromise vermutet wird, und nicht davon ausgehen, dass ein unauffälliger integrity check allein diese attack chain ausschließt.