Ivanti Connect Secure Zero-Day seit Anfang Oktober aktiv ausgenutzt – Angreifer umgeht Detection-Tool

Ivanti gab am 13. Oktober 2026 bekannt, dass eine Zero-Day-Authentifizierungsumgehung in seinem Connect Secure SSL VPN-Gateway, verfolgt als CVE-2026-104935, aktiv in freier Wildbahn ausgenutzt wird — und dass der dahinterstehende Angreifer die Kampagne seit mindestens dem 1. Oktober betreibt, fast zwei Wochen vor der öffentlichen Warnung. Die Schwachstelle betrifft Connect Secure (ICS) in den Versionen 22.8R2.4 und früher sowie den 25.1.x-Zweig.

Was die Schwachstelle ermöglicht

Der Fehler erlaubt es einem nicht authentifizierten Remote-Angreifer, beliebige Befehle auf dem Gerät auszuführen — ohne Benutzerinteraktion und mit geringer Angriffskomplexität. Diese Kombination macht ein internetexponiertes VPN-Gateway zur offenen Tür. Das Sicherheitsunternehmen Volexity, das die Schwachstelle entdeckt und gemeldet hat, verfolgt die exploitierende Gruppe als UTA0576. Laut Volexity nutzte der Akteur diesen Fehler nicht allein: CVE-2026-104935 wurde mit zwei weiteren Schwachstellen verknüpft, um nicht authentifizierte Code-Ausführung auf Root-Ebene auf ansonsten vollständig gepatchten Geräten zu erreichen.

Ivanti hat Fixes für zwei der drei Schwachstellen in dieser Kette veröffentlicht. Eine Privilege-Escalation-Schwachstelle, die den Exploit-Pfad vervollständigt, ist zum Zeitpunkt dieses Berichts noch ungepatchet — das bedeutet, der verfügbare Fix reduziert die Angriffsfläche, schließt sie aber nicht vollständig.

Anti-forensische Vorgehensweise

Was diese Kampagne von routinemäßiger VPN-Exploitation unterscheidet, ist die Evasionsarbeit des Angreifers. UTA0576 setzte weder Malware noch eine Web Shell ein — die üblichen Artefakte, nach denen Verteidiger nach einem Angriff suchen. Stattdessen beobachtete Volexity, wie der Akteur das Gerät für jeden auszuführenden Befehl erneut exploitierte und aktiv die Gerätelogs manipulierte, um Spuren seiner Aktivität zu beseitigen. Die Gruppe umging außerdem Ivantis eigenes Integrity Checker Tool — das Hilfsprogramm, das Organisationen ausführen sollen, um zu bestätigen, dass ihr Gerät nicht manipuliert wurde. Ein sauberer Integrity-Checker-Scan auf einem betroffenen Gerät kann daher nicht als Sicherheitsnachweis gewertet werden.

Ausmaß der Gefährdung

Der Internet-Scanning-Dienst Shadowserver zählt mehr als 5.500 über das öffentliche Internet erreichbare Connect-Secure-Instanzen, wobei unklar ist, wie viele davon Decoys, Honeypots oder bereits remediert sind. Der Forscher Defused berichtete unabhängig davon, bereits ab dem 1. Oktober Exploitation-Signale beobachtet zu haben — was darauf hindeutet, dass der tatsächliche Kampagnenbeginn sogar Volexitys Schätzung vom 3. Oktober vorausgeht.

Empfohlene Maßnahmen für Organisationen

Ivanti drängt Administratoren dazu, sofort auf eine gepatchte Version zu aktualisieren und das Integrity Checker Tool angesichts der nachgewiesenen Fähigkeit des Angreifers, es zu umgehen, als eines von mehreren Signalen zu behandeln — nicht als abschließende Freigabe. Da die dritte Komponente der Exploit-Kette ungepatchet bleibt, sollten Organisationen, die Connect Secure betreiben, auch nach dem Einspielen der verfügbaren Fixes von einem anhaltenden Risiko ausgehen und Logs sowie Gerätezustand auf Kompromittierungsanzeichen zurück bis Anfang Oktober prüfen — nicht nur ab dem Zeitpunkt der Offenlegung.

Enterprise-VPN-Gateways sind im Verlauf des Jahres 2026 ein wiederkehrendes Angriffsziel, eben weil sie am Netzwerkperimeter sitzen und privilegierten Zugang zu allem dahinter haben. Dieser Vorfall folgt einem inzwischen vertrauten Muster, bei dem staatlich unterstützte und finanziell motivierte Akteure mehrere Schwachstellen verketten, um in einer einzigen Kampagne sowohl die Authentifizierung als auch die eigenen Detection-Tools des Herstellers auszuhebeln.

Berichtet von BleepingComputer, basierend auf Recherchen von Volexity und Ivantis eigenem Security Advisory.