CISA warnt aktive Ausbeutung von Ivanti Connect Secure von CVE-2026-104935

Ivanti Connect Secure (ICS), die weit verbreitete VPN / SSL-Plattform für Fernzugriff, wird aktiv in der Natur durch eine Schwachstelle ausgenutzt keine Authentifizierung die die Fernausführung von Befehlen ermöglicht. Der Fehler, der als CVE-2026-104935 und mit einem CVSS-Score von 8.6 identifiziert wurde, wurde von der US-Infrastruktur- und Cybersicherheitsagentur festgestellt. Die Vereinigten Staaten (CISA), die es auch in seinem Known Exploited Vulnerables (KEV) Katalog - die US-Bundesagenturen zwingen, es vor dem 16. Oktober 2026 zu korrigieren - und forderte Betreiber, ihre Ivanti-Geräte auf die neueste Version zu aktualisieren. Die von der Entscheidung betroffenen Versionen sind 25.1.1.1 und oben, 25.1.2.2 und oben und 22.8R2.4 und oben; Ivanti warnt weiter, dass der Zweig 22.8 am 31. Januar 2027 das Ende seines Lebens erreichen wird.

In einer von öffentlichen Quellen bestätigten Weise haben mehrere Antwortteams Versuche zur Ausbeutung beobachtet. Volexity berichtete seit mindestens 3. Oktober 2026 ausbeutende Tätigkeit, die von einem Schauspieler, der UTA0576 genannt wird, betriebene Kampagnen aufführte und die nach seiner Analyse Authentifizierungs-Bypass mit einer zusätzlichen Schwachstelle der Eskalation von Privilegien verbindet, die Ausführung als root ohne Anmeldeinformationen zu erreichen. Unabhängig von der Motivation des Schauspielers dokumentiert Volexity Post-Exploitation im Einklang mit dem Diebstahl von Anmeldeinformationen, die Extraktion von Active Directory-Metadaten, die Bereitstellung von Werkzeugen für Kerberoast-Angriffe und die Suche nach BitLocker-Schlüsseln. Parallel verzeichnete das Unternehmen Previdian 105 Versuche zur Ausbeutung, die bis zum 14. Oktober 2026 auf seine Honeypots abzielten, die von Dutzenden verschiedener PIs stammen und koordinierte Kampagnen und aktive Tests von Fernausführungskapazitäten anzeigten.

Was technisch geschieht(bestätigt und erklärt): Sicherheitslücke ermöglicht es einem Angreifer, den Authentifizierungsprozess zu überspringen und die internen (CGI-)Handler der Anwendung zu erreichen. Forscher haben den Missbrauch des HTTP X-DSWGI-PATH Headers beobachtet, um Anfragen an einen internen Handler zu richten, der Dateien akzeptiert; Angreifer hochladen Pakete, die als ZIP erscheinen, aber Perl-Skripte enthalten. Wenn die Remote-Ausführung funktioniert, geben diese Skripte einzigartige Marker zurück, die den Erfolg der Explosion bestätigen. In einigen dokumentierten Zwischenfällen wurde diese erste Ausführung durch Klettervektoren verbunden, um Systemprivilegien zu erhalten und Post-Exploitation Aktionen durchzuführen, die den Zugriff und die Ausdauer maximieren.

Wer es betrifft(bestätigt): jede Organisation, die Ivanti Connect Secure in den obigen Versionen verwendet und das Gerät aus unzuverlässigen Netzwerken zugänglich ist, ist gefährdet. Dazu gehören physikalische Anwendungen, virtuelle Instanzen und Cloud-Bereitstellungen. Das Risiko ist besonders kritisch für Infrastrukturen, die einen Fernzugriff auf die öffentliche Internet-Administration oder VPN ohne zusätzliche Zugangskontrollen aussetzen.

Tatsächliche und beobachtete Folgen(bestätigt und geschätzt): Nach der Operation haben die Gegner es geschafft, die in der Anwendung gespeicherten Anmeldeinformationen zu stehlen, LDAP / AD-Verkehr zu erfassen und Post-Operation-Tools bereitzustellen, die die Suche nach administrativen Passwörtern und Wiederherstellung von Festplattenschlüsseln ermöglichen. Volexity beschreibt auch bewusste Versuche, Datensätze zu löschen oder zu modifizieren und das System in einem Zustand zu verlassen, der die Erkennung erschwert. Auf betrieblicher Ebene kann dies den Zugang zu Unternehmenskonten, die laterale Bewegung innerhalb interner Netze, das Engagement kritischer Authentifizierungsinfrastrukturen und die Exfiltration sensibler Daten zur Folge haben. Die bisher beobachteten Kampagnen haben sich auf Leistungstests konzentriert, aber die Berichte zeigen, dass die nächste Phase wahrscheinlich aus schädlicheren und gezielteren Nutzlasten besteht.

Was wird bestätigt?: Existenz von CVE-2026-104935; aktive Ausbeutung dokumentiert seit 3. Oktober 2026; Aufnahme in den KEV-Katalog von CISA mit dem letzten Datum der Vermittlung für Bundesagenturen; Beobachtungen von Ausbeutungstests durch Previdian und Post-Exploitation Aktivität dokumentiert von Volexity. Was ist Schätzung oder noch unsicher: das Gesamtmaß des Engagements in realen Einrichtungen (wie viele Anwendungen außerhalb der Honeypots vollständig beeinträchtigt wurden), die endgültige Identität oder operative Zuschreibung aller Angreifer und ob es bereits Massenexfiltrationskampagnen über die veröffentlichten Fälle hinaus gibt.

Spezifische und prioritäre Maßnahmen, die heute von technischen Beamten ergriffen werden sollen: Erstens, um Patches anzuwenden. Wenn Ihr Einsatz aktualisiert werden kann, folgen Sie bitte sofort dem Kompatibilitäts- und Migrationsführer von Ivanti ( https: / / www.ivanti.com / support / security-advices) CISA bietet weitere Informationen im KEV Katalog ( https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog), die Fristen und Anforderungen für den öffentlichen Sektor festlegt.

Wenn Sie nicht sofort parken oder Zeit für eine kontrollierte Intervention benötigen, wenden Sie sich an Kompensatorbegrenzung: Sie beschränkt den Zugriff auf die Anwendung auf bekannte IP-Adressen mittels Zugriffskontrolllisten oder Perimeter Firewalls, verschieben Sie die Verwaltung aus dem öffentlichen Internet und begrenzen Ports durch separate Management-VPNs, implementieren Multifaktor-Authentifizierung für Administrationszugriff und stellen IDS / IPS und WAF-Regeln bereit, die Anfragen mit anomale Header (C.g. Priorisieren Sie Zugriffsprotokoll, Web-Aufzeichnungen und alle Datei-Uploads, die nicht einer legitimen Nutzung entsprechen.

Wenn Sie das Engagement vermuten, empfehlen CISA und die untersuchten Teams spezifische forensische und Mediationsschritte: Erstellen Sie eine Kopie der aktuellen Konfiguration des Geräts, führen Sie einen Werks-Reset und aktualisieren Sie auf die parierte Version, oder in virtuellen Umgebungen die Instanz neu erstellen; wiederherstellen Sie die Konfiguration aus der Kopie erst nach der Bestätigung, dass es keine schädlichen Objekte enthält; zurücksetzen Sie alle Passwörter (lokale, Verwaltung, Domäne) und revoke / Reputilli-Zertifikaten und Schlüssel. Volexity hat Techniken für die Reinigung von Artefakten durch Angreifer dokumentiert, so dass Eindämmung aus der Perspektive angenommen werden muss, dass der Gegner versucht zu verstecken.

Praktische Erkennungen, die Sicherheitsteams implementieren können: Suchen Sie das Eintragsprotokoll mit dem X-DSCGI-PATH Header, untersuchen Sie Gebühren, die ZIP-Erweiterungen haben, aber Perl-Skripte oder andere Dolmetscher enthalten, entdecken Sie unerwartete Perl- oder Python-Prozesse in Anwendungen, überprüfen ausgehende Verbindungen zu unbekannten Hosts aus der Anwendung und analysieren LDAP- und Kerberos-Verkehr auf der Suche nach Anomaliesen und Metadatenextraktion. Weitere technische Anleitungen zu beobachteten Indikatoren und Taktiken finden Sie in der öffentlichen Analyse von Folgereaktionsunternehmen und Forschungsberichten zu spezialisierten Blogs wie Volexity ( https: / / www.volexity.com / blog /)

Kurz gesagt, Schwachstelle in Ivanti Connect Secure ist eine aktive Bedrohung, die bereits verwendet wurde, um Remote-Ausführung zu validieren und in dokumentierten Fällen, um Anmeldeinformationen zu stehlen und erweiterte Nachausbeutungsaktionen durchzuführen. Die unmittelbare Priorität besteht darin, eine restriktive Minderung aufzuheben oder eine forensische Analyse durchzuführen, wenn die Ausrüstung ausgesetzt ist. Kritische Infrastrukturbetreiber und VPN-Administratoren sollten diese Maßnahmen als dringend betrachten: Die Reaktionszeit kann nun den Unterschied zwischen einem Konzepttest und einer Intrusion mit Persistenz und Exfiltration von Daten machen.