Am 30. Oktober 2026 hat CISA zwei Schwachstellen in Ivanti Connect Secure in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Die Schwachstellen CVE-2026-111357 und CVE-2026-118527 werden in einer Kette mit der bereits katalogisierten CVE-2026-104935 genutzt, um Codeausführung mit Root-Rechten ohne Authentifizierung zu erreichen. Nach Angaben von Volexity werden die Angriffe von einer zuvor unbekannten Gruppierung durchgeführt, die unter der Bezeichnung UTA0576 verfolgt wird. Organisationen, die Ivanti Connect Secure einsetzen, müssen die verfügbaren Patches umgehend installieren – die Kette wird bereits aktiv ausgenutzt.
Technische Details der Schwachstellen
Die Exploit-Kette kombiniert drei Schwachstellen, von denen jede ihre eigene Rolle spielt:
- CVE-2026-104935 (CVSS 8.6, CNA Ivanti) – Umgehung der Authentifizierung durch Spoofing (CWE-290), die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, beliebige Befehle auszuführen. Betroffen sind Versionen vor 25.1.3.0; laut NVD sind Version 22.7R2.14 und frühere Versionen nicht verwundbar. Am 13. Oktober 2026 in den CISA-KEV aufgenommen, mit Frist zur Behebung bis zum 16. Oktober.
- CVE-2026-111357 – Rechteausweitung bis Root, die darauf beruht, dass der Dienst dsinvoked den Konfigurationsdaten von DSCache vertraut (CWE-829). NVD verzeichnet eine Ausnutzung in freier Wildbahn im Oktober 2026. Am 30. Oktober in den CISA-KEV aufgenommen, mit Frist zur Behebung bis zum 2. November.
- CVE-2026-118527 – eine Schwachstelle bei der Erzeugung vorhersagbarer Bezeichner, die das Hochladen von Dateien mit durch den Angreifer kontrolliertem Inhalt ermöglicht. Es ist zu beachten, dass für diese Schwachstelle kein bestätigender Eintrag in NVD oder anderen Primärregistern gefunden werden konnte und sie im deterministischen Datensatz als im CISA-KEV nicht vorhanden markiert ist – dies steht im Widerspruch zur Aussage des Ausgangsmaterials.
Wichtige Abweichung bei der Bewertung der Schwere: Das Ausgangsmaterial nennt für CVE-2026-111357 einen CVSS-Score von 8.8, während der NVD-Eintrag die Bewertung des CNA (MITRE) mit 7.0 angibt. Für die Reaktionsplanung ist zu empfehlen, die NVD-Daten als primäre Quelle heranzuziehen.
Mechanismus der Exploit-Kette
Nach Angaben von Volexity umfasst die Angriffskette drei aufeinanderfolgende Phasen: Umgehung der Authentifizierung, Remote Code Execution und Rechteausweitung. In den frühen Phasen werden technisch die beliebige Weiterleitung von CGI-Anfragen und das Schreiben von Dateien über die Komponente wu.cgi genutzt, während die finale Rechteausweitung mit dem Dienst dsinvoked und der DSCache-Konfiguration zusammenhängt. Die beobachtete Ausnutzung wurde auf einem Gerät mit der Version 22.8R2.4 festgestellt.
Eine Besonderheit dieser Kette ist die Modifikation von Code im Speicher mit anschließender Wiederherstellung des Konfigurationszustands. Die Angreifer übermitteln Befehle und erhalten Ergebnisse direkt über HTTPS-Anfragen, ohne Webshells, Backdoors oder separate Command-&-Control-Kanäle auszurollen. Das erschwert die Erkennung mit Standardmitteln erheblich.
Bedrohungskontext: Gruppierung UTA0576
Volexity verfolgt die Aktivitäten unter der Bezeichnung UTA0576 – dies ist ein analytisches Label und keine nachgewiesene Zuordnung zu einer bekannten Gruppierung. Die Identität des Operators ist nicht unabhängig festgestellt. Volexity bewertet die Motivation mit niedriger Vertrauensstufe eher als kriminell denn als spionageorientiert.
Die Post-Exploitation-Aktivitäten zielten laut Volexity auf das Abgreifen von LDAP- und Active-Directory-Anmeldedaten, LAPS-Passwörtern, BitLocker-Wiederherstellungsschlüsseln, Konfigurationsdaten, Anmeldeprotokollen und Netzwerkinformationen ab. Im Unterschied zu typischen Angriffen auf VPN-Gateways etablierte UTA0576 keine dauerhafte Präsenz auf den kompromittierten Geräten.
Volexity identifizierte die IP-Adresse 108.165.147[.]64 (VPS-Provider Evoxt) als Infrastruktur, die mit dieser Aktivität in Verbindung steht. Dies ist ein beobachteter Indikator, kein Beweis für die Identität des Operators.
Zuvor haben wir bereits Schwachstellen in Produkten für Remote-Zugriff behandelt, darunter Ivanti Connect Secure – dieses Produkt bleibt ein vorrangiges Ziel für Angreifer.
Auswirkungsanalyse
Ivanti Connect Secure ist ein weit verbreitetes VPN-Gateway in Unternehmensumgebungen und staatlichen Einrichtungen. Root-Zugriff ohne Authentifizierung bedeutet eine vollständige Kompromittierung des Geräts, einschließlich Zugriff auf alle darüber laufenden Anmeldedaten und den darüber geleiteten Netzwerkverkehr. Das gezielte Abgreifen von LAPS-Passwörtern und BitLocker-Schlüsseln weist auf die Vorbereitung einer weiteren Ausbreitung in der Active-Directory-Infrastruktur hin.
Behörden der zivilen Exekutive der US-Bundesregierung (FCEB) sind verpflichtet, CVE-2026-111357 bis zum 2. November 2026 zu beheben. Für CVE-2026-104935 ist die Frist zur Behebung gemäß KEV bereits am 16. Oktober abgelaufen.
Empfehlungen für die Reaktion
- Sofortiges Update: Installieren Sie die Versionen Ivanti Connect Secure 25.1.1.3 oder 22.8R2.6, die nach Angaben von Ivanti alle Schwachstellen der Kette beheben. Version 25.1.3.0 enthält den Fix für CVE-2026-104935, der bereits im Juli veröffentlicht wurde.
- Überwachung des Netzwerkverkehrs: Volexity empfiehlt, Anfragen an welcome.cgi mit X-DSCGI-PATH-Headern zu überwachen, die auf wu.cgi oder temporäre Ausführungspfade verweisen.
- Forensik statt nur Integrity Checker: Volexity warnt, dass der integrierte Ivanti Integrity Checker aufgrund der Modifikation von Code im Speicher möglicherweise keine Spuren dieser Ausnutzung erkennt. Empfohlen wird eine Netzwerk- und Speicherforensik.
- Prüfung von Active Directory: Bei Verdacht auf eine Kompromittierung – Audit der Konten, Rotation der LAPS-Passwörter und Überprüfung der Zugriffe auf Attribute, die Passwörter und BitLocker-Wiederherstellungsschlüssel enthalten.
- IOC: Nehmen Sie die IP-Adresse 108.165.147[.]64 in die Überwachung auf.
Die Kette CVE-2026-104935 → CVE-2026-111357 ermöglicht vollständigen Root-Zugriff auf Ivanti Connect Secure ohne Authentifizierung und wird bereits aktiv ausgenutzt. Priorität hat die umgehende Installation der Patches auf die Versionen 25.1.1.3 oder 22.8R2.6, parallel zu forensischen Analysen des Netzwerkverkehrs und des Speichers der Geräte, um mögliche Kompromittierungen vor dem Update zu erkennen.
