Betrifft Sie das?
- Betroffen: alle, deren VPN oder Gateway für den Fernzugriff Ivanti Connect Secure ist.
- Nicht betroffen, wenn: Ihr VPN nicht Ivanti Connect Secure ist.
Was tun?
- Installieren Sie noch heute das in Ivantis Sicherheitshinweis genannte korrigierte Release für Ihren Zweig. Laut CVE-Eintrag schloss 22.8R2.5 nur die Authentifizierungsumgehung; LavX zufolge behebt 22.8R2.6 die beiden anderen Lücken. Beim neueren Zweig widersprechen sich die Nummern: LavX nennt 25.1.1.3, der CVE-Eintrag führt die höheren Versionen 25.1.3.0 und 25.1.3.1 als von der Umgehung nicht betroffen. Die Rechteausweitung hat Ivanti am 29. Oktober gepatcht.
- Noch kein Fix für Ihre Version? Die Anweisung der CISA lautet, das Produkt nicht mehr zu nutzen, bis es einen gibt.
- Verlassen Sie sich nicht auf die Logs der Appliance: Laut Volexity löschten die Angreifer Spuren aus den Ivanti-Debug-Logs und den Linux-Audit-Logs. Achten Sie auf große Mengen von Anfragen an /dana-na/auth/url_default/welcome.cgi und durchsuchen Sie das Active Directory ab Ende September nach jedem Dienstkonto, das LAPS-Passwörter oder BitLocker-Wiederherstellungsschlüssel ausgelesen hat, sowie nach Kerberoasting. Unserer Ansicht nach sollten Sie mit dem vom VPN genutzten AD-Konto beginnen.
- Anzeichen gefunden oder Verbindungen vom VPN zu anderen Rechnern? Volexity rät zu einer forensischen Untersuchung; die CISA verlangt von US-Behörden eine forensische Triage. Unserer Ansicht nach sollten Sie außerdem die Passwörter des AD-Kontos des VPN und jedes Kontos ändern, das beim Auslesen dieser Geheimnisse aufgefallen ist, und die LAPS-Passwörter sowie die BitLocker-Wiederherstellungsschlüssel rotieren.
- Nicht: die US-Fristen, 2. und 13. November, als Schonfrist verstehen; Volexity hat die Angriffe Anfang Oktober entdeckt.
Was wir wissen – und was nicht
- Die Kette laut CISA und den CVE-Einträgen: CVE-2026-104935, eine mit 8,6 bewertete Authentifizierungsumgehung, über die ein entfernter Angreifer ohne Anmeldung Befehle ausführen kann; CVE-2026-118527, über die ein angemeldeter Nutzer Dateien an einen bekannten Ort hochladen kann; und CVE-2026-111357, über die ein lokaler Nutzer Root-Rechte erlangen kann.
- CVE-2026-111357 bewertet The Hacker News (von LavX übernommen) mit 8,8, Ivantis CVE-Eintrag mit 7,0. Für CVE-2026-118527 gab es am 31. Oktober keinen veröffentlichten CVE-Eintrag; die Details stammen aus dem Katalog der CISA.
- Volexity fand die Gruppe UTA0576 auf einer Appliance, die damals vollständig gepatcht war (22.8R2.4).
- Motiv: Volexity tendiert – bei geringer Konfidenz – zu einem kriminellen Motiv; LavX spricht von Spionage.
Warum das wichtig ist
Einem VPN-Gateway vertraut alles, was dahinter liegt. Ein Patch schließt die Lücke; er zeigt nicht, ob sie schon jemand genutzt hat, und ändert kein gestohlenes Passwort. Patchen Sie heute und sehen Sie dann dort nach, wohin diese Angreifer gegangen sind: im Verzeichnisdienst.