Ivanti Connect Secure: Authentifizierungsumgehung durch Spoofing

Zusammenfassung

Ivanti Connect Secure (ICS) Versionen vor 25.1.3.0 enthalten eine Authentifizierungsumgehung durch Spoofing (CWE-290). Ein entfernter, nicht authentifizierter Angreifer kann die Schwachstelle über das Netzwerk ausnutzen, um beliebige Befehle auf dem Gerät auszuführen. Die CISA hat die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, die Ausnutzung in freier Wildbahn ist somit bestätigt. Gemäss CVE-Eintrag sind ICS 22.7R2.14 und früher nicht betroffen.

Betroffen

• Ivanti Connect Secure vor 25.1.3.0 (Standard: betroffen)
• Gemäss CVE-Eintrag nicht betroffen: 25.1.3.0, 25.1.3.1, 22.8R2.5, 22.7R2.14 und früher
• Genaue betroffene Versionen pro Zweig: in der Ivanti-Sicherheitsmitteilung prüfen

Behoben in

• Aktualisierung auf 25.1.3.0 oder neuer (25.1.3.1 ist als nicht betroffen aufgeführt)
• 22.8R2.5 für den Zweig 22.8
• Genaue korrigierte Version pro Zweig in der Ivanti-Sicherheitsmitteilung bestätigen

Umgehung

Unbekannt.

• In den geprüften Quellen wurde kein Workaround des Herstellers bestätigt; das Einspielen des Patches ist die Massnahme.
• Eine Quelle empfiehlt, den Zugriff auf Management- und Gateway-Schnittstellen nach Möglichkeit einzuschränken.

Ausnutzung

• Ausnutzung in freier Wildbahn: Die CISA hat die Schwachstelle am 13. Oktober 2026 in den KEV-Katalog aufgenommen. Ivanti hat die Ausnutzung bei einer begrenzten Anzahl Kunden bestätigt.
• CISA-SSVC-Bewertung: Ausnutzung aktiv, automatisierbar ja, technische Auswirkung total.
• Ein öffentlicher Proof-of-Concept-Exploit wurde gemeldet, ist aber nicht verifiziert.
• Einsatz in Ransomware-Kampagnen: Unbekannt.

Unsere Empfehlung

• Alle Ivanti-Connect-Secure-Geräte und ihre genauen Versionen erfassen; prüfen, ob Management-Schnittstellen aus dem Internet erreichbar sind.
• Umgehend auf die korrigierte Version aktualisieren. Nicht auf das Integrity Checker Tool vertrauen, da es eine Ausnutzung möglicherweise nicht erkennt.
• Bei aus dem Internet erreichbaren Geräten, die seit Anfang Oktober 2026 ungepatcht sind, eine Kompromittierung annehmen: Logs prüfen, die Wiederherstellungsanleitung von Ivanti befolgen, über das Gerät laufende Zugangsdaten und Zertifikate erneuern und eine Neuinstallation erwägen.
• Migration weg vom Zweig 22.8 vor dem Ende des Supports am 31. Januar 2027 planen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (5 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  ApexBreach/CVE-2026-104935-Proof-of-concept · 0x45dd/ivanti-cve-2026-104935-check · maxprog-svg/CVE-2026-104935 · Bluefire-Redteam-Cybersecurity/bluefire-ivanti-ics-guard · CompleteTech-Security/ivanti-connect-secure-cve-2026-104935-check

Quellen der Recherche

• Ivanti Security Advisory CVE-2026-104935 hub.ivanti.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA adds two known exploited vulnerabilities to catalog www.cisa.gov
• CISA urges patching newly exploited Ivanti Connect Secure vulnerability www.cisa.gov
• CISecurity advisory on Ivanti Connect Secure www.cisecurity.org
• watchtowr FAQ on CVE-2026-104935 watchtowr.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:40.