Redaktionelle Analyse · Primärquellen
Ivanti-Connect-Secure-Zero-Day-Kette macht aus dem Gateway-Einbruch eine Identitätskrise
Die bestätigte Ausnutzung einer Zero-Day-Lücke in Ivanti Connect Secure ermöglichte den Diebstahl von Zugangsdaten, Datenabfluss und Zugriff auf Wiederherstellungsgeheimnisse; Patchen ist dringend, beweist aber kein sauberes Gerät.
Bestätigte Zeitachse
Volexity beobachtete die Ausnutzung ab dem 3. Oktober 2026 gegen eine zu diesem Zeitpunkt vollständig gepatchte Appliance und begann am 5. Oktober mit der Untersuchung. Am 13. Oktober koordinierte Ivanti eine Korrektur, während CISA die aktive Ausnutzung von CVE-2026-104935 bekanntgab, einer Authentifizierungsumgehung, die nicht authentifizierte Befehlsausführung ermöglicht [1][2]. Der CVE-Eintrag nennt 25.1.3.0, 25.1.3.1 und 22.8R2.5 als korrigierte Versionen; 22.7R2.14 und älter gelten als nicht betroffen [3].
Beobachteter Einbruch
Dies ist eine bestätigte Angriffskette und nicht nur ein Schwachstellenhinweis. Volexity stellte fest, dass die Authentifizierungsumgehung und Remotecodeausführung mit einer separaten lokalen Rechteausweitung verkettet wurden. Der Akteur erlangte Domänenzugangsdaten, Active-Directory-Metadaten, LAPS-Passwörter, BitLocker-Wiederherstellungsschlüssel und Authentifizierungsdaten der Appliance und führte danach Passwort-Spraying und Netzwerkaufklärung durch [2]. Die öffentliche Faktenlage beziffert die Zahl kompromittierter Organisationen nicht.
Auftrag und Exposition
Ein internetseitiges Zugangs-Gateway ist ein Vertrauensanker. Eine Kompromittierung kann vom Fernzugang auf Unternehmensidentitäten, Endgeräteverwaltung und Wiederherstellungsprozesse übergreifen und so die Kontinuität auch nach dem Patchen gefährden. Verantwortliche sollten exponierte Versionen identifizieren, Aktivitäten mindestens seit dem 3. Oktober prüfen und die nachgelagerte Nutzung von Verzeichnis-Bindekonten, privilegierten Sitzungen, LAPS und Wiederherstellungsschlüsseln bewerten.
Reaktionsprioritäten
Sofort auf eine korrigierte Version aktualisieren, das Patchen aber nicht mit Eindämmung gleichsetzen. Beweise sichern; verdächtige Appliances isolieren oder neu aufbauen; Sitzungen und Tokens widerrufen; Appliance-, Administrator-, LDAP-Binde- und weitere exponierte Zugangsdaten rotieren; LAPS- und BitLocker-Geheimnisse evidenzbasiert neu bewerten. Unabhängige Netzwerk-, Identitäts-, Endpunkt- und Speichertelemetrie nutzen, da Volexity Log-Löschungen beobachtete und warnte, dass der Integritätsprüfer der Appliance eine Kompromittierung möglicherweise nicht zuverlässig erkennt [2].
Governance und Unbekannte
Die Führungsverantwortung über Sicherheits-, Identitäts-, Infrastruktur-, Kontinuitäts- und Rechtsteams hinweg festlegen. Unabhängige Protokollierung für Perimetergeräte, getestete Verfahren zur Beweiserhebung und Lebenszyklusfristen für nicht unterstützte Versionen verlangen. Zuschreibung, Gesamtzahl der Opfer, endgültige Ziele und Verbreitung der vollständigen Kette sind nicht verifiziert. Das Vertrauen ist hoch hinsichtlich Ausnutzung und beobachtetem Verhalten nach der Kompromittierung, aber begrenzt hinsichtlich des Gesamtausmaßes.
Quellen
- CISA, CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 October 2026 (accessed 14 October 2026)
- Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 October 2026 (accessed 14 October 2026)
- CVE Program, CVE-2026-104935 record, published and updated 13 October 2026 (accessed 14 October 2026)
- HKCERT, Ivanti Connect Secure Remote Code Execution Vulnerability, 14 October 2026 (accessed 14 October 2026)