Ivanti hat dringende Sicherheitsupdates veröffentlicht, um zwei neue Zero-Day-Schwachstellen in seinen Connect Secure (ICS) Remote-Access-Gateways zu beheben, nachdem bekannt wurde, dass diese in Angriffsketten ausgenutzt wurden, die Anfang Oktober 2026 begannen. Dieser Schritt erfolgt im Rahmen der Bemühungen des Unternehmens, Sicherheitslücken zu schließen, die Angreifer nutzten, um tiefgreifende Kontrolle über Unternehmensnetzwerke zu erlangen.
Details zu den Schwachstellen und dem Mechanismus der Angriffskette
Die erste Schwachstelle mit der Kennung CVE-2026-111357 ist ein hochkritischer Fehler, der eine Rechteausweitung (Privilege Escalation) ermöglicht, während die zweite Schwachstelle CVE-2026-118527 es authentifizierten Angreifern erlaubt, schädliche Dateien auf nicht aktualisierten Geräten hochzuladen. Angreifer verknüpften diese beiden Schwachstellen mit einer dritten Schwachstelle zur Umgehung der Authentifizierung (CVE-2026-104935), für die Ivanti bereits im Vormonat einen Patch bereitgestellt hatte.
Das Unternehmen erklärte, dass es sich zunächst auf die Behebung der Schwachstelle zur Umgehung der Authentifizierung konzentriert habe, da diese den primären Angriffsvektor darstellte, bevor man später feststellte, dass Angreifer die anderen Schwachstellen nutzten, um sich dauerhaft in den Systemen festzusetzen. Ivanti bestätigte, dass diese Kette es Angreifern ermöglichte, Befehle auf Root-Ebene auszuführen, selbst auf Geräten, von denen Unternehmen glaubten, sie seien vollständig geschützt.
Verhalten der Angreifer und Verschleierungstechniken
Das Cybersicherheitsunternehmen Volexity, das diese Angriffe beobachtete, enthüllte, dass eine Bedrohungsakteure namens UTA0576 hinter diesen Operationen steckte. Das Besondere an diesem Angriff ist, dass die Angreifer nicht auf das Einschleusen herkömmlicher Schadsoftware oder Web-Shells angewiesen waren, sondern die Schwachstelle bei jedem ausgeführten Befehl erneut ausnutzten und gleichzeitig Systemprotokolle manipulierten, um ihre Spuren zu verwischen und einer Entdeckung durch die Integritätsprüfungstools von Ivanti zu entgehen.
Das Sicherheitsanalyseunternehmen Defused bestätigte diese Ergebnisse und wies darauf hin, dass die ersten Anzeichen einer aktiven Ausnutzung am 1. Oktober begannen, was die schnelle Reaktion der Angreifer auf neu entdeckte Schwachstellen in der kritischen Infrastruktur widerspiegelt.
Offizielle Warnungen und weltweite Verbreitung
Aufgrund der Schwere der Lage hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Hauptschwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und Bundesbehörden angewiesen, ihre Systeme sofort zu aktualisieren. Daten des Shadowserver-Monitors deuten darauf hin, dass mehr als 5.000 ICS-Geräte im Internet exponiert sind, wobei unklar bleibt, wie viele Geräte bisher tatsächlich abgesichert wurden.
Warum ist diese Nachricht von entscheidender Bedeutung?
Die Remote-Access-Gateways von Ivanti sind ein bevorzugtes Ziel für Cyberspionagegruppen, insbesondere für staatlich unterstützte Akteure, da sie einen direkten Zugang zu den Netzwerken großer Unternehmen bieten, um sensible Daten zu stehlen. Was sich hier praktisch ändert, ist, dass Angreifer durch "dateilose Angriffe" (Fileless attacks) besser in der Lage sind, sich zu verbergen, was den Einsatz herkömmlicher Scan-Tools unzureichend macht. Systemadministratoren müssen nicht nur die Updates installieren, sondern auch die Zugriffsprotokolle auf ungewöhnliche Aktivitäten seit Anfang Oktober überprüfen, da das Update zwar die Schwachstelle behebt, aber keinen Angreifer entfernt, der bereits erfolgreich in das System eingedrungen ist und sich dort auf andere Weise festgesetzt hat.