Ivanti: Zero-Day-Schwachstelle betrifft VPN trotz Updates

Ivanti hat am Dienstag (13.) eine Zero-Day-Schwachstelle im Connect Secure, seinem Unternehmens-VPN-Gateway, veröffentlicht, die bereits von Angreifern ausgenutzt wurde, bevor ein Patch verfügbar war. Am selben Tag nahm die US Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle, registriert als CVE-2026-104935, in den Katalog der bekannt ausgenutzten Schwachstellen auf und gab den Bundesbehörden bis zum 16. Oktober Zeit zur Behebung. Es bleiben drei Tage Frist.

Drei Schwachstellen, eine ohne Lösung

Die Incident-Response-Firma Volexity, die am 13. auch die technische Analyse veröffentlichte, beschreibt eine Kette von drei Fehlern. Die ersten beiden, eine Authentifizierungsumgehung und eine Remote-Code-Ausführung, zusammengefasst unter CVE-2026-104935, ermöglichen es einem unberechtigten Angreifer, Befehle auf dem Gerät mit dem Benutzer des Webservers auszuführen. Die dritte Schwachstelle, eine Privilegieneskalation, erhöht diesen Zugriff auf Root. Laut Volexity nutzt die Gruppe, die sie als UTA0576 verfolgt, die Kette seit mindestens dem 3. Oktober aus, gegen Geräte, die die Version 22.8R2.4, die zu diesem Zeitpunkt aktuellste, betrieben.

Ivanti hat die ersten beiden Schwachstellen behoben. Die Privilegieneskalation bleibt offen: Laut Volexity wird die Behebung "in einer zukünftigen Version in den kommenden Wochen" verfügbar sein. In der Praxis war ein Unternehmen, das alles angewendet hatte, was der Hersteller bis Anfang des Monats veröffentlicht hatte, einem Angreifer ausgesetzt, der in der Lage war, die vollständige Kontrolle über das Gerät ohne Passwort zu übernehmen. Rapid7 empfahl, das Update außerhalb des normalen Wartungszyklus anzuwenden.

Warum das Gerät wichtig ist

Ein VPN-Hub befindet sich am Rand des Netzwerks und authentifiziert jeden Mitarbeiter, Anbieter und Lieferanten, die auf interne Systeme zugreifen. Seine Kompromittierung gibt dem Angreifer einen Beobachtungspunkt über die Anmeldedaten und Sitzungen der gesamten Organisation, und die Überprüfung ist oft schwierig, da diese Geräte selten den auf Servern und Arbeitsstationen installierten Erkennungsagenten betreiben.

Connect Secure hat eine Vorgeschichte. Im Januar 2024 wurden zwei in Kette hängende Schwachstellen im selben Produkt, CVE-2023-46805 und CVE-2024-21887, von einer mit China verbundenen Gruppe, verfolgt als UNC5221, ausgenutzt. Die CISA reagierte mit der Notfallrichtlinie 24-01 und forderte, dass die Bundesbehörden alle Instanzen des Produkts innerhalb von 48 Stunden vom Netz trennen und vor dem Wiederanschluss auf Werkseinstellungen zurücksetzen. Die Richtlinie wies auch an, die mit den Geräten verbundenen Domainkonten als kompromittiert zu betrachten.

Volexity hat UTA0576 keinem Land zugeordnet, und weder sie noch Ivanti haben mitgeteilt, wie viele Kunden betroffen waren. Dieser Artikel macht keine Zuordnung.

Wo sich das Risiko ausbreitet

In den USA gilt die Frist bis zum 16. Oktober nur für die Bundesregierung, aber die CISA-Liste dient als Prioritätsreferenz für Banken, Gesundheitsdienstleister und Regierungsanbieter, die sie häufig in Verträgen und Audits nutzen.

In Australien hat die Fachpresse die Warnung mit dem Aufruf zur sofortigen Behebung aufgegriffen. Das Land hat den Vorfall von 2024 aus nächster Nähe erlebt: Das Australian Cyber Security Centre veröffentlichte in Zusammenarbeit mit der CISA die gemeinsame Warnung, die zeigte, wie Angreifer das Integritätsprüfungswerkzeug von Ivanti manipulierten.

Der Fall betrifft auch die Outsourcing-Kette. Beratungs- und IT-Dienstleistungsanbieter, die Dienstleistungszentren in Indien, Osteuropa oder Brasilien betreiben, greifen größtenteils über Unternehmens-VPNs wie diese auf Kundenumgebungen zu. Ein kompromittiertes Gateway auf der Kundenseite exponiert die Anmeldedaten des Anbieters, und ein kompromittiertes Gateway auf der Seite des Anbieters öffnet gleichzeitig den Zugang zu Dutzenden von Kunden.

Was für den CISO zählt

Mit der dritten Schwachstelle, die noch unbeseitigt ist, reduziert die Anwendung des veröffentlichten Pakets das Risiko, schließt jedoch die gesamte Kette nicht. Das im Jahr 2024 konsolidierte Handbuch bleibt gültig: Behandeln Sie das Gerät als potenziell kompromittiert, wenn es seit Anfang Oktober exponiert war, sammeln Sie Beweise, bevor Sie neu starten, ändern Sie die Anmeldedaten, die darüber liefen, und überprüfen Sie, ob die Protokolle gelöscht oder deaktiviert wurden, ein Zeichen, das auch Volexity als starkes Indiz für eine Infiltration bezeichnet hat.

Ereignis fügt eine unangenehme Dimension zur Diskussion hinzu, ob VPNs durch Zero-Trust-Zugangsmuster ersetzt werden sollten. Zum zweiten Mal in weniger als drei Jahren wurde dasselbe Produkt in Ketten ausgenutzt, bevor der Hersteller von dem Problem wusste, und diesmal war die aktuellste Version anfällig. Für die Vorstände, die fragen, ob das Unternehmen "mit den Patches auf dem neuesten Stand ist", ist die ehrliche Antwort in diesem Fall, dass es nicht ausreichte, auf dem neuesten Stand zu sein.