Die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) forderte Sicherheitsteams auf, Ivanti-Connect-Secure-Geräte unverzüglich zu aktualisieren, nachdem die Ausnutzung einer Schwachstelle zur Umgehung der Authentifizierung in Zero-Day-Angriffen seit mindestens dem 1. Oktober bestätigt worden war.
Die unter der Kennung CVE-2026-104935 registrierte Schwachstelle ist als hochriskant eingestuft und ermöglicht es entfernten Angreifern ohne Berechtigungen, beliebige Befehle auf den Zielsystemen auszuführen. Die Angriffe erfordern keine Benutzerinteraktion, was das Risiko für über das Internet erreichbare Geräte erhöht.
Ivanti-Updates und beobachtete Ausnutzung
Ivanti veröffentlichte am Dienstag die Versionen 22.8R2.5, 25.1.3.0, 25.1.3.1 und 25.1.1.2 zur Behebung des Fehlers und forderte Kunden auf, unverzüglich zu handeln. Dabei wies das Unternehmen auf eine begrenzte Ausnutzung in freier Wildbahn hin.
Das Unternehmen Volexity erklärte, dass eine unbekannte, von ihm als UTA0576 bezeichnete Bedrohungsgruppe seit mindestens dem 3. Oktober begonnen habe, diese Schwachstelle mit zwei weiteren Schwachstellen zu kombinieren, um eine Angriffskette aus Umgehung der Authentifizierung, Ausführung aus der Ferne und Rechteausweitung durchzuführen und schließlich ohne Authentifizierung Befehle mit Root-Berechtigungen auszuführen.
Volexity zufolge zielten die Aktivitäten nach der Kompromittierung auf Zugangsdaten und Geheimnisse von Active Directory ab, darunter Passwörter der Local Administrator Password Solution (LAPS) und BitLocker-Wiederherstellungsschlüssel. Auch das Unternehmen Defused bestätigte, seit dem 1. Oktober Hinweise auf eine Ausnutzung der Schwachstelle in freier Wildbahn gefunden zu haben.
Warum ist diese Nachricht wichtig?
Shadowserver beobachtet mehr als 5.600 über das Internet erreichbare Hosts mit Merkmalen von Ivanti Connect Secure. Die Zahl gibt jedoch nicht an, wie viele davon abgesichert sind oder virtuelle Überwachungsumgebungen darstellen. Daher reicht die Installation des Updates allein nicht aus, um einen erfolgreichen Einbruch auszuschließen, insbesondere weil die Befehle der Angreifer im Speicher ausgeführt werden können.
Die CISA nahm die Schwachstelle in ihren Katalog der tatsächlich ausgenutzten Schwachstellen auf und verpflichtete zivile Bundesbehörden, ihre Netzwerke gemäß der verbindlichen operativen Richtlinie BOD 26-04 bis Freitag abzusichern. Außerdem richtete sie eine separate Warnung an alle Sicherheitsteams und Netzwerkadministratoren, die Systeme zu aktualisieren und auf Kompromittierungsindikatoren zu prüfen.
Was ist bei einem vermuteten Einbruch zu tun?
Die CISA warnt davor, sich allein auf Ivantis Integrity Checker Tool zu verlassen, da es möglicherweise keine Spuren einer Ausnutzung von CVE-2026-104935 erkennt, wenn die Befehle im Speicher ausgeführt werden. Die Behörde empfiehlt eine forensische Analyse des Netzwerks und des Speichers sowie bei bestätigter Kompromittierung die folgenden Schritte:
- Eine Sicherungskopie der Gerätekonfiguration erstellen.
- Das Gerät auf die Werkseinstellungen zurücksetzen und die neueste Version installieren; Cloud- und virtuelle Systeme sollten neu aufgebaut und aktualisiert werden.
- Die Konfiguration aus der Sicherungskopie wiederherstellen.
- Die Passwörter aller Konten ändern, einschließlich Domänen-, Administrator- und lokaler Konten.
- Gespeicherte Zertifikate widerrufen und neu ausstellen sowie API-Schlüssel und Zugangsdaten des Lizenzservers zurücksetzen.
Dieser Vorfall reiht sich in eine Serie von Ivanti-Connect-Secure-Schwachstellen ein, die in den vergangenen Jahren in freier Wildbahn ausgenutzt wurden. Seit November 2021 hat die CISA 36 mit Ivanti verbundene Schwachstellen in ihren Katalog der tatsächlich ausgenutzten Schwachstellen aufgenommen; 12 davon wurden auch bei Ransomware-Angriffen eingesetzt.