Ivanti Connect Secure: Zero-Day-Kette hebelt auch vollständig gepatchte VPN-Appliances aus

Wer eine Ivanti-Connect-Secure-VPN-Appliance betreibt, sollte diese Woche nicht auf das nächste reguläre Wartungsfenster warten. Am 13. Oktober 2026 hat Ivanti eine Zero-Day-Schwachstelle offengelegt, die laut dem Sicherheitsunternehmen Volexity (öffnet in neuem Tab) bereits zur Kompromittierung einer vollständig aktuell gepatchten Appliance genutzt wurde. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Fall einen Tag später in einer eigenen Sicherheitsmitteilung (öffnet in neuem Tab) mit Kritikalität 2 (Gelb) eingestuft – nach BSI-eigener Skala die Stufe, bei der „Maßnahmen zeitnah ergriffen werden müssen" und „temporäre Beeinträchtigungen des Regelbetriebs möglich" sind.

Die Schwachstelle: eine gepatcht, eine noch offen

Im Zentrum steht CVE-2026-104935, laut Ivantis eigenem Advisory (öffnet in neuem Tab) eine Authentifizierungsumgehung durch Spoofing mit einem CVSS-3.0-Wert von 8,6 von 10 (hoch). Sie erlaubt es einem entfernten, nicht authentifizierten Angreifer, beliebige Befehle auf der Appliance auszuführen. Betroffen sind laut Ivanti die Versionen 22.8R2.4 und älter, 25.1.1.1 und älter sowie 25.1.2.2 und älter. Nicht betroffen sind 22.7R2.14 und ältere Versionen sowie die bereits im Juli 2026 veröffentlichte Version 25.1.3.0.

Entscheidend für die Einordnung ist aber ein zweiter Punkt, den das BSI in seiner Bewertung ausdrücklich hervorhebt: Laut Volexity verketten die Angreifer CVE-2026-104935 mit einer weiteren, bislang ungepatchten Schwachstelle zur Rechteausweitung, über die sie Root-Zugriff auf der Appliance erlangen. Ivanti hat zum Zeitpunkt der Veröffentlichung nur die Authentifizierungsumgehung und die damit verbundene Codeausführung geschlossen, nicht die Privilegien-Eskalation. Das BSI schreibt dazu, es sei „davon auszugehen, dass auch andere Tätergruppen kurzfristig über die benötigten Angriffswerkzeuge verfügen und eine breite, massive Ausnutzung zu erwarten ist."

Wie der Angriff ablief

Volexity hat den Fall technisch im Detail rekonstruiert, nachdem eine Appliance eines Kunden trotz vollständiger Patches (Version 22.8R2.4) kompromittiert wurde. Die Analyse zeigt eine dreistufige Kette:

1. Authentifizierungsumgehung: Eine öffentlich erreichbare Login-Seite (welcome.cgi) wird genutzt, um Anfragen per HTTP-Header an ein internes, eigentlich geschütztes Skript (wu.cgi) umzuleiten.
2. Codeausführung über eine Race Condition: Beim Hochladen einer als ZIP getarnten Perl-Datei wird die Datei kurzzeitig auf der Platte abgelegt, bevor eine Formatprüfung sie wieder löscht. In diesem schmalen Zeitfenster senden die Angreifer parallele Anfragen, um das Skript noch vor der Löschung auszuführen.
3. Rechteausweitung auf Root: Über eine Manipulation des internen Konfigurationsspeichers DSCache bringen die Angreifer den root-berechtigten Hintergrunddienst dsinvoked dazu, ihren eigenen Code mit Root-Rechten zu starten – und setzen die Manipulation danach wieder zurück, um Spuren zu verwischen.

Nach erfolgreichem Zugriff löschten die Angreifer laut Volexity gezielt Einträge aus den Ivanti-Debug-Logs und den Linux-Audit-Logs. Ein Hintertürprogramm oder eine Webshell wurde dabei nicht dauerhaft installiert – für jeden weiteren Befehl musste die komplette Kette erneut ausgenutzt werden, was die Angriffsspuren zusätzlich verschleiert.

Was die Angreifer mit dem Zugriff machten

Laut Volexity nutzte die bislang unbekannte, als UTA0576 bezeichnete Gruppe den Root-Zugriff auf der Appliance vor allem, um an Zugangsdaten für das angebundene Active Directory zu gelangen: Domänen-Anmeldedaten über LDAP, ein eigens entwickeltes Kerberos-Werkzeug für Kerberoasting-Angriffe sowie ein Python-Tool, das gezielt nach LAPS-Passwörtern (Local Administrator Password Solution) und BitLocker-Wiederherstellungsschlüsseln suchte. Ergänzend beobachtete Volexity Password Spraying, Netzwerk-Aufklärung und das Mitschneiden von LDAP-Datenverkehr. Das BSI fasst das in seiner Bewertung so zusammen: Die beobachteten Post-Exploitation-Aktivitäten „sollten weiterhin zum Anlass genommen werden, umfangreiche Analysen von Netzwerkkomponenten anzustoßen und den Abfluss von Zugangsdaten auszuschließen."

Warum das Standard-Prüfwerkzeug hier nicht ausreicht

Sowohl die CISA (öffnet in neuem Tab) als auch das BSI weisen auf eine Besonderheit hin: Ivantis „Integrity Checker Tool" (ICT), das normalerweise zur Kompromittierungsprüfung dient, erkennt diesen konkreten Angriff möglicherweise nicht. Laut CISA liegt das daran, dass die Befehle der Angreifer ausschließlich im Arbeitsspeicher ausgeführt werden und das ICT lediglich eine Momentaufnahme des Dateisystem-Zustands liefert. Das BSI empfiehlt stattdessen, die von Volexity veröffentlichten Kompromittierungsindikatoren (IoCs) zu nutzen und Logs sowie Netzwerkverkehr seit mindestens Anfang Oktober 2026 auf Auffälligkeiten zu prüfen – ein reiner ICT-Lauf ohne Befund ist demnach kein Beleg für Unversehrtheit.

Betroffene und behebende Versionen

Laut Ivantis Advisory (öffnet in neuem Tab) gilt folgender Patch-Pfad:

• Version 22.8.x: Update auf 25.1.1.2 (empfohlen) oder, falls das nicht sofort möglich ist, zumindest auf 22.8R2.5.
• Version 25.1.1.1 und älter auf physischer oder virtueller Hardware (ISA4000/6000/8000): Update auf 25.1.1.2.
• Version 25.1.2.2 und älter auf neuerer Hardware (ISA4500/6500/8500): Update auf 25.1.3.0 oder 25.1.3.1.
• Version 22.7R2.14 und älter ist von CVE-2026-104935 nicht betroffen, erreicht laut Ivanti aber am 31. Januar 2027 das Support-Ende und sollte ebenfalls migriert werden.

Einen Workaround gibt es laut Hersteller nicht. Die CISA hat CVE-2026-104935 am 13. Oktober 2026 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen; laut dem NVD-Eintrag zur Schwachstelle (öffnet in neuem Tab) wurde für US-Bundesbehörden eine Frist bis zum 16. Oktober 2026 zur Behebung gesetzt – ein Hinweis auf die Dringlichkeit, auch wenn diese Frist Unternehmen im deutschen Mittelstand formal nicht bindet.

Was jetzt zu tun ist

Aus den vorliegenden Quellen lassen sich vier konkrete Schritte ableiten:

1. Patchstand sofort prüfen und aktualisieren. Wer eine der oben genannten betroffenen Versionen betreibt, sollte laut BSI nicht auf das nächste Wartungsfenster warten, sondern unverzüglich auf eine der behebenden Versionen wechseln.
2. Kompromittierung aktiv prüfen – auch nach erfolgtem Patch. Da die beobachtete Ausnutzung laut Volexity bereits ab dem 3. Oktober 2026 begann, kann eine Appliance kompromittiert worden sein, bevor der Patch verfügbar war. Ein alleiniger ICT-Lauf reicht laut CISA und BSI nicht aus; notwendig sind forensische Analysen auf Basis der von Volexity veröffentlichten Indikatoren.
3. Bei Verdacht auf Kompromittierung die vollständige Wiederherstellung durchführen, nicht nur patchen: CISA empfiehlt in diesem Fall ein Backup der Konfiguration, einen Factory Reset mit Upgrade auf die aktuelle Version beziehungsweise den Neuaufbau virtueller Instanzen, die Wiederherstellung der Konfiguration aus dem Backup sowie den Reset sämtlicher Zugangsdaten, Zertifikate, API-Schlüssel und Lizenzserver-Credentials.
4. Zugangsdaten im angebundenen Active Directory als potenziell kompromittiert behandeln, wenn eine Appliance betroffen war – insbesondere LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel, die laut Volexity gezielt abgegriffen wurden.

Zeitlicher Ablauf im Überblick

Für die Priorisierung im eigenen Patchmanagement hilft die Chronologie, wie sie sich aus Ivantis Advisory und Volexitys Analyse ergibt:

• 3. Oktober 2026: Laut Volexity beginnt UTA0576 mit der wiederholten Ausnutzung der Schwachstellenkette gegen eine zu diesem Zeitpunkt vollständig gepatchte Appliance (Version 22.8R2.4).
• 5. Oktober 2026: Volexity leitet nach einem Kundenhinweis eine forensische Untersuchung ein und identifiziert die Ivanti-Connect-Secure-Appliance als Ursprung der verdächtigen Aktivität.
• 12. Oktober 2026: Ivanti veröffentlicht laut BSI bereits einen ersten Patch für die Version 22.8R2.5, bevor das öffentliche Advisory erscheint.
• 13. Oktober 2026: Ivanti veröffentlicht das Sicherheitsadvisory zu CVE-2026-104935, CISA nimmt die Lücke am selben Tag in den Known-Exploited-Vulnerabilities-Katalog auf, Volexity veröffentlicht die technische Analyse.
• 14. Oktober 2026: Das BSI veröffentlicht seine eigene Sicherheitsmitteilung mit Kritikalität 2 (Gelb).

Bemerkenswert an dieser Reihenfolge: Laut Ivantis eigener FAQ im Advisory wurde ein Teil der Schwachstelle bereits im Juli 2026 im Rahmen des internen Produktsicherheitsprogramms entdeckt und mit Version 25.1.3.0 geschlossen – der Rückportierung des Fixes auf die älteren, noch unterstützten Versionslinien kam die aktive Ausnutzung durch UTA0576 zuvor. Das zeigt, warum eine veraltete, aber offiziell noch unterstützte Versionslinie kein sicherer Zustand ist, solange ein bekannter Fix nicht nachgezogen wurde.

Warum das über Ivanti hinausgeht

Der Fall reiht sich in eine Serie ein, die das BSI in seiner Bewertung selbst anspricht: Ivanti Connect Secure war bereits 2025 Ziel vergleichbarer Zero-Day-Angriffe, und auch bei anderen Perimeter-Systemen – Citrix NetScaler, Fortinet FortiMail, SonicWall SMA – häuften sich 2026 aktiv ausgenutzte Schwachstellen. Das BSI ordnet das in seiner Empfehlung ausdrücklich in einen größeren Trend ein: „Aufgrund der Fortschritte in der Künstlichen Intelligenz ist der Zeitraum zwischen Veröffentlichung und Ausnutzung bekannter Schwachstellen zudem erheblich gesunken, wodurch ein schnelles Patchmanagement und etablierte Kommunikationskanäle zwischen Hersteller und Betreiber notwendig sind."

Für den Mittelstand heißt das konkret: Internetseitige Zugangssysteme wie VPN-Gateways brauchen einen Patch- und Prüfprozess, der auf eine Herstellerwarnung innerhalb von Stunden reagieren kann – nicht im Rhythmus der nächsten geplanten IT-Besprechung. Wer unsicher ist, ob die eigene Infrastruktur aktuell abgesichert ist oder ob interne Prozesse eine Warnung wie diese schnell genug an die richtige Stelle bringen, sollte das jetzt klären, nicht erst beim nächsten Vorfall.