CISAs Warnung vom 13. Oktober zu Ivanti Connect Secure war keine Vorsichtsmaßnahme gegen einen hypothetischen Fehler. Angreifer hatten eine Kette aus Authentifizierungsumgehung und Codeausführung bereits gegen eine Appliance eingesetzt, die für ihren Zweig damals vollständig aktualisiert war. CISA nahm CVE-2026-104935 in den Katalog bekannter ausgenutzter Schwachstellen auf und setzte zivilen Bundesbehörden den 16. Oktober als Behebungsfrist.
Das unmittelbare Softwareupdate und der ungelöste Vorfall sind unterschiedliche Probleme. Volexity beschreibt wiederholte Ausnutzung, vorübergehende Speicheränderungen, Zugangsdatenbeschaffung und gezielte Loglöschung ohne herkömmliche dauerhafte Webshell. Aktualisierung schließt den dokumentierten Einstieg, widerruft aber keine gestohlenen Geheimnisse und beweist nicht, dass zuvor kein Zugriff stattfand.
Frist und betroffene Versionen
Die Schwachstelle hat einen CVSS-Wert von 8,6. Sie ermöglicht entfernte Befehlsausführung mit geringer Komplexität, ohne bestehendes Konto oder Nutzerinteraktion. Connect Secure steht zwischen Internet, internen Anwendungen und Identitätsdiensten. Ein Authentifizierungsfehler verschafft Angreifern deshalb eine wertvolle vertrauenswürdige Position.
Die abgeschlossene Berichterstattung nennt 25.1.1.1 und früher im jeweiligen Zweig, 25.1.2.2 und früher sowie 22.8R2.4 und früher als betroffen. Korrigierte Versionen sind unter anderem 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5. Das erlaubt keinen beliebigen Zweigwechsel: Installation und unterstützter Upgradepfad müssen mit Ivantis Hinweis abgeglichen werden.
Die Ausnahme für ältere Software wird unterschiedlich präzise beschrieben: Der Hauptbericht nennt 22.7.x und früher, der ergänzte CVE-basierte Bericht 22.7R2.14 und früher. Keine Formulierung ist eine allgemeine Sicherheitsgarantie oder ein Grund zum Downgrade. Andere Lücken und der Supportlebenszyklus bleiben gesondert zu prüfen.
Das KEV-Update vom 13. Oktober ergänzte außerdem Windows Shell CVE-2026-96951. Diese eigenständige Lücke benötigt Nutzerinteraktion, anders als der direkte unauthentifizierte Ivanti-Pfad. Beide Einträge erhielten für Federal Civilian Executive Branch-Behörden die Frist 16. Oktober nach den zitierten BOD-26-04-Anforderungen. Private Organisationen übernehmen nicht automatisch diese Verpflichtung, teilen aber die technische Gefährdung. Windows ist hier Kontext, keine zweite Ivanti-Lücke.
KEV belegt beobachtete Ausnutzung, nicht den Einbruch in jede erreichbare Appliance oder massenhafte Angriffe. Der Katalog führte Ransomware-Nutzung als unbekannt, nicht als bestätigt. Ivantis Aussage über begrenzte bekannte Ausnutzung beschreibt ebenfalls die eigene Sichtbarkeit, keine verlässliche Obergrenze der Opferzahl.
Ein damals aktuelles Gateway wurde vor Offenlegung angegriffen
Volexity begann am 5. Oktober zu untersuchen und verfolgte Ausnutzung bis zum 3. Oktober zurück. Betroffen war Connect Secure 22.8R2.4, Build 19097, damals aktuell für diesen Zweig. Ein anderer Informationsanbieter beobachtete Berichten zufolge verwandte Zeichen ab 1. Oktober. Das sind getrennte Beobachtungen; das frühere Datum ist nicht Volexitys bestätigter Beginn.
Die Firma verfolgt die unbekannte Aktivität als UTA0576. Das ist eine analytische Clusterbezeichnung, keine nachgewiesene Organisation oder staatliche Zuordnung. Mit geringer Sicherheit vermutete sie kriminelle statt Spionagemotive. Der Einsatz wurde unterbrochen, bevor das endgültige Ziel geklärt war.
Ivanti erklärte, ein Teil des Fehlers sei im Produktsicherheitsprogramm gefunden und mit 25.1.3.0 im Juli 2026 korrigiert worden. Während der Rückportierung in andere unterstützte Versionen erfolgte die Ausnutzung. Daraus entstand eine tatsächliche Schutzlücke zwischen Zweigen. Öffentlich ist jedoch nicht geklärt, wann Ivanti die gesamte Kette oder reale Angriffe verstand. Technische Rückportierungs- und Kompatibilitätsarbeit rechtfertigt keine unbelegte Behauptung absichtlicher Verzögerung.
Zum Hintergrund gehören die im Januar 2025 ausgenutzte Stack-Pufferüberlauf-Lücke CVE-2025-0282 und CVE-2025-22457, später mit China-bezogener Spionage verbunden. Diese Fälle identifizieren UTA0576 nicht und beweisen keine allgemeine Unsicherheit aller Geräte. Volexity verglich die Zugangsdatengewinnung aus Paketmitschnitten auch mit Angriffen auf SonicWall-Fernzugriffsgeräte. Das zeigt den breiteren Reiz vertrauenswürdiger Randinfrastruktur.
Drei Schwächen führten vom öffentlichen Zugriff zu root
Die rekonstruierte Kette begann mit einem Widerspruch zwischen Autorisierung und Routing. Eine Anfrage an die öffentliche Login-Komponente welcome.cgi konnte im X-DSCGI-PATH-Header ein anderes Ziel angeben. Das Gerät prüfte die öffentliche URL, leitete die Anfrage aber an den geschützten Uploadhandler wu.cgi.
Dieser schrieb eine Datei vor der Prüfung, ob sie ein gültiges ZIP-Archiv war. Ein als ZIP getarntes Perl-Skript bestand deshalb kurzzeitig vor Ablehnung und Löschung. Parallele Anfragen gewannen das Rennen gegen die Bereinigung und ermöglichten Ausführung als eingeschränktes cgi-server-Konto. Das ist ein zeitabhängiger Dateiverarbeitungsfehler, kein Beleg für grundsätzlich ausführbare gewöhnliche ZIP-Dateien.
Authentifizierungsumgehung und entfernte Ausführung sind unter CVE-2026-104935 zusammengefasst. Eine separate Rechteausweitung nutzte einen privilegierten Dienst, der manipulierten Konfigurationsdaten vertraute, zusammen mit einer Bibliotheksänderung im Speicher. Eine legitime Wartungsaufgabe wurde zu einem bösartigen Skript umgeleitet und als root ausgeführt. Der Akteur prüfte den Zugriff auf geschützte Passwortinformationen und stellte danach Konfiguration und Speicheranweisung wieder her.
Zum Zeitpunkt der abgeschlossenen Berichte plante Ivanti einen späteren Fix für diese separate Rechteausweitung. Das bedeutet nicht, dass das Oktober-Update den dokumentierten unauthentifizierten Einstieg offenlässt: Werden Einstieg und Ausführung unterbrochen, scheitert diese konkrete Kette. Weitere Herstellerversionen bleiben trotzdem relevant.
Statt einer ersten Backdoor nutzte der Akteur wiederholt den Exploitkanal, um Befehle und Ergebnisse über HTTPS auszutauschen. Einige Stufen liefen nur im Speicher, darunter eine komprimierte, kodierte Python-Nutzlast. Ausgewählte Debug- und Linux-Audit-Einträge wurden entfernt, temporäre Dateien und Resultate gelöscht und Änderungen zurückgesetzt.
Volexity stellte fest, dass dies Ivantis Integrity Checker Tool umging. Es sucht unerwartete Dateiänderungen; temporäre Speicheränderungen und wiederhergestellte Konfiguration liegen außerhalb dessen, was ein sauberer datenträgerorientierter Befund ausschließen kann. Das begrenzt die Aussagekraft des Ergebnisses, macht Integritätsprüfung aber nicht nutzlos.
Identitätsdaten vergrößerten die Folgen
Über den Verzeichniszugriff des Gateways konnte der Akteur einen internen Active-Directory-Domänencontroller abfragen. Ermittler fanden ein eigenes LDAP-Werkzeug und Python-Skripte für LAPS-Zugangsdaten lokaler Administratoren, BitLocker-Wiederherstellungsinformationen, Passwortattribute, Nutzermetadaten und Anmeldeskriptpfade. Authentifizierungsprotokolle lieferten gültige Benutzernamen.
LAPS-Daten können lokale Verwaltungszugriffe eröffnen, BitLocker-Daten verschlüsselte Laufwerke entsperren. Volexity bewertete mit hoher Sicherheit, dass über die gezielten Verzeichnisabfragen verfügbare Informationen exfiltriert wurden. Damit ist nicht gesagt, dass jedes gesuchte Geheimnis existierte oder jeder spätere Zugriff erfolgreich war.
Der Akteur prüfte außerdem Paketmitschnitte auf unverschlüsselte LDAP-Zugangsdaten, HTTP-Basic-Authentifizierung und NTLM-Challenge-Response-Hashes. Ein umbenanntes Mitschnittprogramm in einem versteckten Verzeichnis überwachte unter anderem LDAP, HTTP, FTP und Telnet mit acht rotierenden Dateien. Hashmissbrauch und Offline-Passwortangriffe hängen von Konfiguration und Passwortstärke ab. Die gesammelten Daten erzeugen dennoch Folgen, die ein VPN-Update nicht rückgängig macht.
Hinzu kamen interne DNS- und Hostnamenaufklärung, Suchen in VPN-Konfiguration und Authentifizierungslogs sowie Password Spraying gegen Verzeichniskonten. Zusammen unterstützte das die Bewertung einer Vorbereitung auf seitliche Bewegung und breiteren Zugriff. Das Endziel und der Erfolg jeder einzelnen Technik wurden nicht festgestellt.
Auch die KI-Aussage des ergänzten Berichts verlangt Zurückhaltung. Volexity vermutete mit mittlerer Sicherheit den Einsatz großer Sprachmodelle bei Exploitentwicklung oder Folgeaktivitäten und verwies auf angepasste Skripte, fest eingetragene Zugangsdaten, wiederholte Kanalnutzung und Komplexität. Das ist eine Schlussfolgerung, kein direkter Nachweis. Menschliche Iteration oder private Werkzeuge können ähnliche Muster erzeugen; ein bestätigter autonomer KI-Angriff folgt daraus nicht.
Was ein belastbarer Abschluss nachweisen muss
Shadowserver zählte nach Offenlegung mehr als 5.500 scheinbar internetseitige Connect-Secure-Instanzen. Das ist eine Expositionsbeobachtung, keine Zahl verwundbarer oder kompromittierter Kunden. Honeypots, Doppelzählungen und aktualisierte Systeme können enthalten sein. Inventare müssen aktive und Standby-Gateways, Wiederherstellungsknoten und vergessene Testgeräte einschließen und reale Builds prüfen.
Ivanti empfahl sofortige Aktualisierung und regelmäßige Integritätschecks; Rapid7 betonte zusätzlich die Suche nach Kompromittierung nach dem Patch. Expositionszeiten, vom Gateway ausgehende Verbindungen, Identitäts- und Verzeichnislogs, Firewall- und DNS-Telemetrie sowie gesicherter Speicher beantworten andere Fragen als die Versionskontrolle. Hohe Anfragemengen an welcome.cgi und URL/Header-Abweichungen sind Hinweise, aber veränderbar. Fehlende veröffentlichte Indikatoren sind kein universeller Freispruch.
Eindämmung und Beweissicherung können kollidieren. Neustart oder Neuaufbau zerstören flüchtige Spuren, verzögerte Isolation kann Angreiferzugriff verlängern. Aktuelles Risiko, Redundanz und forensische Fähigkeiten bestimmen die Reihenfolge. Responder sollten Erhebung koordinieren, Zugriff nicht unnötig verlängern und Handlungen samt Uhrzeiten festhalten.
Zugangsdatenrotation muss Integrationen, erreichbaren Geheimnissen und beobachteten Aktivitäten folgen. Dienstkonten, lokale Administratorpasswörter, Wiederherstellungsschlüssel, Tokens und wiederverwendbare Nutzergeheimnisse benötigen getrennte Prüfung. Blinde Resets können Abhängigkeiten stören und weniger sichtbare Daten übersehen. Nachgelagerte Verbindungen des vertrauenswürdigen Gateways sind eigenständig zu untersuchen.
Langfristig helfen weniger unnötige Internet- und Administrationsfreigaben, zentrale Logs, minimale Verzeichnisrechte, interne Segmentierung und möglichst keine Klartextauthentifizierung. Das beseitigt Zero-Days nicht, begrenzt aber erreichbare Systeme und lokal löschbare Beweise.
Weitere Ausnutzung oder Opferfunde, nachgewiesene Updateabdeckung unterstützter Zweige, der separate Eskalationsfix und nachgelagerte Nutzung gestohlener Daten sind die nächsten Signale. Volexity hielt waffenfähigen Exploitcode zurück, doch technische Analysen können Nachahmern helfen. Fehlende weitere öffentliche Fälle widerlegen zusätzliche Kompromittierung nicht.
Zum Abschluss braucht es getrennte Antworten zu verwundbaren Versionen, Erreichbarkeit im Angriffszeitraum, Zugriffsspuren und anschließend erreichbaren Systemen oder Geheimnissen. Ein abgeschlossener Patch beantwortet die erste Frage. Er ist notwendig, ersetzt aber die übrigen drei nicht.