Ivanti forderte seine Kunden auf, das Remote-Access-Gateway Ivanti Connect Secure nach der Bekanntgabe der Zero-Day-Schwachstelle CVE-2026-104935 unverzüglich zu aktualisieren. Dabei handelt es sich um eine hochriskante Schwachstelle zur Umgehung der Authentifizierung, die bei tatsächlichen Angriffen ausgenutzt wird. Die Schwachstelle betrifft die Versionen 22.8R2.4 und älter, 25.1.2.2 und älter sowie 25.1.1.1 und älter.
Die Schwachstelle ermöglicht es nicht autorisierten Angreifern, über wenig komplexe Angriffe, die keinerlei Benutzerinteraktion erfordern, beliebige Befehle auf den Zielgeräten auszuführen. Connect Secure, früher als Pulse Connect Secure und davor als Juniper Pulse bekannt, wird eingesetzt, um Mitarbeitern, Auftragnehmern und hybriden Teams sicheren Zugriff auf Unternehmensressourcen und Cloud-Dienste bereitzustellen.
Mehrstufige Ausnutzung
Ivanti erklärte, zum Zeitpunkt der Offenlegung eine begrenzte Ausnutzung der Schwachstelle im Internet beobachtet zu haben, und forderte Kunden auf, das Sicherheitsbulletin zu prüfen, auf eine korrigierte Version zu aktualisieren und das Integrity Checker-Tool regelmäßig auszuführen. Das Unternehmen Volexity, das die Schwachstelle entdeckt und gemeldet hatte, erklärte jedoch, dass eine unbekannte, von dem Unternehmen als UTA0576 bezeichnete Bedrohungsgruppe sie mindestens seit dem 3. Oktober eingesetzt habe. Volexity brachte sie mit zwei zusätzlichen Schwachstellen in Verbindung, um ohne Authentifizierung Code mit Root-Rechten auszuführen, selbst auf vollständig aktualisierten Geräten.
Volexity zufolge installierte die angreifende Gruppe weder Malware noch dauerhafte Webshells, sondern nutzte das Gerät für jeden Befehl erneut aus. Außerdem manipulierte sie Protokolle, um ihre Spuren zu verbergen, und konnte das Integrity Checker-Tool von Ivanti umgehen. Das Unternehmen Defused bestätigte, am 1. Oktober die ersten Hinweise auf eine Ausnutzung der Schwachstelle in freier Wildbahn beobachtet zu haben.
Was ändert sich in der Praxis?
Das Risiko beschränkt sich nicht auf die Installation des Patches für die aktuelle Schwachstelle. Ivanti wies darauf hin, dass das Unternehmen weiterhin an der Behebung einer Schwachstelle zur Rechteeskalation arbeitet, die innerhalb derselben Angriffskette eingesetzt wurde. Betreiber betroffener Geräte müssen daher das Sicherheitsbulletin vollständig befolgen, die Integrität der Systeme und Protokolle überprüfen und dürfen das Bestehen des Integrity Checkers allein nicht als ausreichenden Beleg dafür betrachten, dass das Gerät nicht manipuliert wurde.
Shadowserver verfolgt mehr als 5.500 aus dem Internet erreichbare Connect-Secure-Instanzen. Es liegen jedoch keine Informationen darüber vor, wie viele Geräte Honeypots darstellen oder bereits gesichert wurden. Dies erhöht die Bedeutung der Identifizierung exponierter Systeme und der Priorisierung ihrer Aktualisierung, insbesondere weil Remote-Access-Gateways an der Schnittstelle zwischen dem Internet und Unternehmensnetzwerken liegen.
Wiederkehrender Kontext für ein angegriffenes Produkt
Ivanti hat in den vergangenen Jahren mehrere Zero-Day-Schwachstellen in Connect Secure behoben, die bei Angriffen ausgenutzt wurden. Dazu gehörten im Januar 2024 CVE-2023-46805 und CVE-2024-21887, später im selben Monat CVE-2024-21893 sowie 2025 die beiden Schwachstellen zur Remote-Codeausführung CVE-2025-0282 und CVE-2025-22457. Die US-amerikanische Cybersecurity and Infrastructure Security Agency CISA zählte außerdem 36 Schwachstellen in Ivanti-Produkten, die seit November 2021 tatsächlich ausgenutzt wurden; 12 davon wurden von Ransomware-Banden missbraucht.
certi.news-Einschätzung: Die tatsächliche Veränderung besteht hier im Übergang einer Authentifizierungsumgehungs-Schwachstelle von der Offenlegung zur praktischen Ausnutzung, die dem Angreifer die Fähigkeit zur Ausführung von Befehlen mit erhöhten Rechten verleiht, verbunden mit Hinweisen auf Methoden zur Umgehung von Prüfwerkzeugen. Das Ausmaß der Ausnutzung und die Zahl der tatsächlich kompromittierten Geräte sind weiterhin ungeklärt. Dadurch werden die Aktualisierung und die forensische Überprüfung der betroffenen Systeme zu zwei parallelen Schritten, die einander nicht ersetzen können.