Eigentlich sollte ein Patch die Sache beenden. Bei Ivanti Connect Secure tut er das nicht. Sicherheitsforscher von Volexity haben eine dreiteilige Angriffskette aufgedeckt, bei der selbst vollständig aktualisierte Geräte noch Root-Rechte an unauthentifizierte Angreifer herausgeben — weil zwei der drei Lücken bislang gar keinen Patch haben.
WAS GENAU KAPUTT IST
Die US-Behörde CISA hat am 13. Oktober die Kennung CVE-2026-104935 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Die Lücke trägt die Bezeichnung CWE-290 — Authentifizierungsumgehung durch Spoofing — und erlaubt einem entfernten Angreifer ohne jede Anmeldung die Ausführung beliebiger Befehle. Die Wertung liegt bei CVSS 8,6, eingestuft als niedrig-komplex und ohne Nutzerinteraktion.
Der eigentliche Schock steckt aber nicht in dieser einen Nummer. Laut Volexity ist CVE-2026-104935 nur ein Baustein von drei. Zwei weitere Rechteausweitungs-Lücken in derselben Kette haben bislang keinen Patch — erst alle drei zusammen ergeben den vollen Weg bis zur Root-Shell.
GEFAHR: Der Patch allein reicht nicht
Das ist der Teil, der aufhorchen lassen sollte: Wer nur CVE-2026-104935 schließt, bleibt über die beiden offenen Rechteausweitungs-Lücken trotzdem verwundbar. Volexity dokumentiert aktive Angriffe des Akteurs UTA0576 seit mindestens dem 3. Oktober — also schon zehn Tage vor der öffentlichen Warnung. Die Angreifer hinterlassen dabei bewusst keine Webshell und keine klassische Malware. Stattdessen nutzen sie die Lücke bei jedem einzelnen Befehl neu und manipulieren anschließend die Systemprotokolle, um Spuren zu verwischen.
Praktisch heißt das: Ein Blick in die Logs reicht nicht aus, um Entwarnung zu geben. Wer die Lücke ernst nimmt, muss von einer möglichen vollständigen Kompromittierung ausgehen, auch wenn nichts Verdächtiges auffällt.
WER BETROFFEN IST
Betroffen sind Ivanti Connect Secure-Installationen vor den Versionen 25.1.3.0, 25.1.3.1, 22.8R2.5 und 22.7R2.14. Connect Secure ist ein SSL-VPN-Gateway, über das Firmen und auch kleinere Betriebe Mitarbeitern den Fernzugriff aufs eigene Netz erlauben. Genau deshalb ist ein solches Gerät ein besonders lohnendes Ziel: Wer hier durchkommt, steht nicht vor einem einzelnen Server, sondern vor dem Eingang zum gesamten Netzwerk.
Für Homelab- und Kleinbetrieb-Admins, die selbst kein Ivanti-Gateway betreiben, bleibt trotzdem eine Lehre: Wer Fernzugriff braucht, kommt mit einem schlanken, offen geprüften WireGuard– oder Tailscale-Setup oft besser weg als mit einer schweren, proprietären VPN-Appliance, die seit Jahren eine Serie von Zero-Days produziert.
SO SCHÜTZT DU DICH — in 4 SCHRITTEN
- Patchen: Sofort auf 25.1.3.0/25.1.3.1 (bzw. 22.8R2.5/22.7R2.14 für die ältere Zweig-Version) aktualisieren.
- Von Kompromittierung ausgehen: Da die Angreifer Logs manipulieren, hilft eine saubere Log-Datei nicht als Entwarnung. Ivantis forensisches Prüf-Tool laufen lassen.
- Zugangsdaten rotieren: Alle über das Gateway erreichbaren Konten und API-Schlüssel neu setzen, sobald der Patch läuft.
- Exposition prüfen: Ist das Admin-Interface wirklich nur aus dem internen Netz erreichbar? Viele betroffene Installationen hängen unnötig offen im Internet.
FAZIT: Patch-Status ist keine Garantie
Der Fall zeigt ein Muster, das Ivanti-Kunden seit Jahren begleitet: eine Sicherheitslücke selten allein, sondern als Teil einer Kette, bei der ein einzelner Patch oft nicht die ganze Geschichte erzählt. Wer ein VPN-Gateway betreibt — egal von welchem Hersteller —, sollte Updates nicht als abgeschlossene Aufgabe behandeln, sondern als laufenden Prozess mit Nachkontrolle.