Ivanti hat Sicherheitsupdates für zwei Schwachstellen in Connect-Secure-Gateways für den Fernzugriff veröffentlicht, die bei Angriffen, die seit mindestens dem 1. Oktober beobachtet werden, gemeinsam mit einer Schwachstelle zur Umgehung der Authentifizierung ausgenutzt wurden.

Bei den neu geschlossenen Problemen handelt es sich um CVE-2026-111357, eine Schwachstelle zur Rechteausweitung mit hohem Schweregrad, und CVE-2026-118527, die es authentifizierten Angreifern ermöglicht, Dateien auf ein ungepatchtes Gerät hochzuladen. Angreifer nutzten beide Schwachstellen zusammen mit CVE-2026-104935, einer Schwachstelle zur Umgehung der Authentifizierung, die Ivanti im vergangenen Monat geschlossen hatte.

Ivanti erklärte, dass das frühere Update den primären Ausnutzungspfad behoben habe, nachdem das Unternehmen von begrenzter Ausnutzung in freier Wildbahn erfahren hatte. Der Anbieter erläuterte, seine Priorität habe darin bestanden, Kunden schnell Schutz bereitzustellen, während der Fix für CVE-2026-104935 für unterstützte Versionen die Qualitätssicherung durchlief.

Volexity, das CVE-2026-104935 entdeckt hatte, berichtete, dass ein als UTA0576 identifizierter Bedrohungsakteur die Schwachstelle seit mindestens dem 3. Oktober mit zwei weiteren Schwachstellen kombiniert habe, um auf vollständig gepatchten Connect-Secure-Geräten die Ausführung von Code mit Root-Rechten ohne Authentifizierung zu erlangen. Laut Volexity setzte der Akteur weder Malware noch eine Web-Shell ein, sondern nutzte das Gerät für jeden Befehl erneut aus und veränderte Protokolle, um seine Aktivitäten zu verbergen und Ivantis Integrity Checker Tool zu umgehen.

Das Unternehmen für Bedrohungsinformationen Defused berichtete ebenfalls über Anzeichen aktiver Ausnutzung, die am 1. Oktober begann. Die US-amerikanische Cybersecurity and Infrastructure Security Agency nahm CVE-2026-104935 anschließend in ihren Katalog bekannter, ausgenutzter Schwachstellen auf und wies Bundesbehörden an, den verfügbaren Fix bis Freitag anzuwenden.

Shadowserver, das die Gefährdung von Systemen im Internet überwacht, erfasst derzeit mehr als 5.000 aus dem Internet erreichbare Connect-Secure-Instanzen. Es liegen keine Informationen darüber vor, wie viele dieser Systeme gegen die laufenden Angriffe abgesichert wurden.

Ivanti-Schwachstellen werden bei Zero-Day-Kampagnen häufig ins Visier genommen, weil kompromittierte Appliances Zugriff auf Unternehmensnetzwerke ermöglichen können. In den vergangenen Jahren hat das Unternehmen auch andere Connect-Secure-Schwachstellen geschlossen, die in freier Wildbahn ausgenutzt wurden, darunter Schwachstellen, die bei Angriffen zur Verbreitung von Malware eingesetzt wurden.

Seit November 2021 führt CISA 38 Ivanti-Schwachstellen als aktiv ausgenutzt auf, darunter 12, die auch bei Ransomware-Angriffen verwendet wurden.

Quellen: BleepingComputer.