Das Patchen einer kompromittierten VPN-Appliance kann zwar die Schwachstelle schließen, macht aber bereits von Angreifern gestohlene Zugangsdaten möglicherweise nicht ungültig. Dieses Risiko wurde deutlich, nachdem Forscher drei miteinander verkettete Zero-Days in Ivanti Connect Secure entdeckt hatten, die zum Diebstahl von Zugangsdaten und zum Zugriff auf vertrauliche Verzeichnisinformationen genutzt wurden.
Die Cybersecurity and Infrastructure Security Agency (CISA) warnte am 13. Oktober 2026, dass Angreifer CVE-2026-104935 ausnutzten, um unbefugt Befehle aus der Ferne auszuführen. Die Behörde nahm die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und forderte eine sofortige Behebung. Unternehmen müssen außerdem untersuchen, ob Angreifer vor dem Patchen der Schwachstelle auf interne Systeme zugegriffen haben.
Ivanti-Exploit-Kette legt Zugangsdaten und Verzeichnisdaten offen
CVE-2026-104935 ist eine Schwachstelle mit hohem Schweregrad und einem CVSS-Score von 8,6. Sie kombiniert Schwachstellen bei der Umgehung der Authentifizierung und der Remotecodeausführung, die Ivanti Connect Secure betreffen, ein VPN-Gateway für Unternehmen.
Eine Untersuchung von Volexityidentifizierte einen als UTA0576 verfolgten Bedrohungsakteur, der drei Schwachstellen gegen eine Appliance mit Version 22.8R2.4 ausnutzte, die zu diesem Zeitpunkt vollständig gepatcht war. Die Ausnutzung begann am 3. Oktober.
Die Angriffskette kombinierte die Umgehung der Authentifizierung, Remotecodeausführung und Rechteausweitung, um Root-Zugriff zu erlangen. CVE-2026-104935 umfasst die ersten beiden Schwachstellen. Die separate Schwachstelle zur Rechteausweitung war noch nicht gepatcht, als Volexity seine Erkenntnisse am 13. Oktober veröffentlichte.
Angreifer extrahierten gespeicherte LDAP-Zugangsdaten, exfiltrierten begrenzte Active-Directory-Metadaten und suchten nach Windows-LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln. Separat gestohlene Fernzugriffszugangsdaten bei US-Wasserversorgernzeigen, wie offengelegte Authentifizierungsdaten Möglichkeiten für unbefugten Netzwerkzugriff schaffen können.
Die Angreifer veränderten außerdem Code im Arbeitsspeicher, stellten geänderte Einstellungen wieder her und löschten ausgewählte Protokolle. Auf der untersuchten Appliance wurde weder eine persistente Web-Shell noch eine Hintertür identifiziert. Diese Techniken können das Ivanti Integrity Checker Tool umgehen und die Erkennung erschweren. Ähnliche Risiken entstehen, wenn kompromittierte Sicherheitsmanagementsysteme interne Netzwerke offenlegen.
Betroffene Versionen patchen und Kompromittierung untersuchen
Der Sicherheitshinweis von Ivantinennt als betroffene Releases in den jeweiligen Zweigen Versionen bis einschließlich 25.1.1.1, 25.1.2.2 und 22.8R2.4. Zu den behobenen Releases gehören 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5. Administratoren sollten vor dem Upgrade das passende Release und die Hardwarekompatibilität überprüfen.
Die CISA-Warnungfordert ebenfalls dazu auf, eine mögliche Kompromittierung zu untersuchen. Sicherheitsteams sollten diese Maßnahmen priorisieren:
- Patches installieren und Zugriff beschränken: Die passende korrigierte Version installieren, unnötige ausgehende Verbindungen begrenzen und den Zugriff auf die Appliance auf kritische interne Systeme beschränken.
- Verdächtige Aktivitäten untersuchen: Authentifizierungsprotokolle, Netzwerkverkehr und Speicherabbilder auf ungewöhnliche Anfragen an
/dana-na/auth/url_default/welcome.cgi, unerwarteteX-DSCGI-PATHWerte und verdächtige Dateien unter/tmp/. - Beweise sichern und Systeme wiederherstellen: Forensische Daten sammeln, bevor kompromittierte physische Appliances auf die Werkseinstellungen zurückgesetzt oder virtuelle Instanzen neu aufgebaut werden. Nur überprüfte Konfigurationen wiederherstellen.
- Zugangsdaten wechseln und Berechtigungen beschränken: Potenziell offengelegte Passwörter zurücksetzen, betroffene Zertifikate und API-Schlüssel ersetzen sowie die Berechtigungen von LDAP- und Active-Directory-Dienstkonten prüfen.
- Überwachung und Authentifizierung stärken: Wo möglich Multifaktor-Authentifizierung durchsetzen, ungewöhnliche Kerberos- und LDAP-Aktivitäten überwachen und Sicherheitsprotokolle zentralisieren.
- Pläne zur Reaktion auf Vorfälle testen: Eindämmung, Untersuchungen zur lateralen Bewegung, den Wechsel von Zugangsdaten und sichere Wiederherstellungsverfahren validieren.
Die National Vulnerability Databaseführt den 16. Oktober 2026 als Frist für die Behebung für die betroffenen zivilen US-Bundesbehörden der Exekutive auf. Ein jüngster SharePoint-Exploit-Fallverdeutlicht ebenfalls, wie aktiv ausgenutzte Schwachstellen beschleunigte Anforderungen an die Behebung auf Bundesebene auslösen können.
Die Installation des Fixes behebt den dokumentierten Einstiegspunkt, doch gestohlene Zugangsdaten können weiterhin nutzbar sein. Unternehmen müssen den nachgelagerten Zugriff untersuchen, um festzustellen, ob Angreifer über die VPN-Appliance hinaus auf Systeme gelangt sind.
Mehr dazu: Eine kritische Citrix-NetScaler-Schwachstelleverdeutlicht die Notwendigkeit, betroffene Gateway-Konfigurationen zu überprüfen, geeignete Sicherheitsupdates zu installieren und Authentifizierungsdienste nach dem Upgrade zu testen.