CISA ordert dringenden Ivanti-Patch, da Angreifer Authentifizierung über Header umgehen

Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat eine dringende Anweisung herausgegeben, nach der Organisationen ihre Ivanti Connect Secure Appliances unverzüglich aktualisieren müssen. Diese Maßnahme folgt auf die Offenlegung einer kritischen Zero-Day-Schwachstelle, die derzeit von Bedrohungsakteuren in freier Wildbahn ausgenutzt wird. Die Behörde bestätigte, dass Remote-Angreifer diesen Fehler nutzen, um die Authentifizierung zu umgehen und beliebige Befehle auf betroffenen Systemen auszuführen.

Was passiert ist

Der Sicherheitsfehler, identifiziert als CVE-2026-104935, weist einen CVSS-Wert von 8,6 auf und betrifft mehrere Versionen der Plattform Ivanti Connect Secure. Konkret sind die Versionen 25.1.1.1 und früher, 25.1.2.2 und früher sowie 22.8R2.4 und früher betroffen. Die CISA gab an, dass Cyberbedrohungsakteure diese Umgehung der Authentifizierung nutzen, um Zugangsdaten zu stehlen und Daten abzuziehen. Folglich hat die Behörde die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen, was Bundesbehörden des zivilen Exekutivzweigs (Federal Civilian Executive Branch) verpflichtet, bis zum 16. Oktober 2026 Korrekturen zu installieren.

Beweise für eine aktive Ausnutzung nehmen bei mehreren Sicherheitsfirmen zu. Previdian berichtete, dass es bis zum 14. Oktober 2026 105 Ausnutzungsversuche gegen seine Honeypot-Sensoren gegeben habe. Diese Angriffe gingen von 50 eindeutigen IP-Adressen aus Singapur und den Vereinigten Staaten aus. Volexity entdeckte separat am 3. Oktober 2026 die erste Ausnutzung, die einem zuvor undokumentierten Bedrohungsakteur namens UTA0576 zugeschrieben wurde. Defused Cyber bestätigte zudem, dass sie bereits ab dem 1. Oktober 2026 Ausnutzungen vor der öffentlichen Offenlegung feststellten, was darauf hindeutet, dass Angreifer aktiv waren, bevor die Schwachstelle öffentlich bekannt wurde.

Die CISA rät, dass zur Feststellung eines Kompromisses Netzwerk- und Speicherforensik erforderlich ist. Wenn ein Einbruch erkannt wird, umfasst die empfohlene Reaktion das Sichern der Konfigurationen, das Durchführen einer Werkszurücksetzung, das Aktualisieren auf die neueste Version und das Wiederherstellen der Konfiguration. Für Cloud- oder virtuelle Systeme ist der Neuaufbau der Instanz bevorzugt. Organisationen müssen außerdem alle Passwörter zurücksetzen, Zertifikate widerrufen und API-Schlüssel neu generieren. Die CISA warnte ferner, dass die Version 22.8 am 31. Januar 2027 das Ende des Supports erreicht, und forderte Kunden auf, die Migrationsleitfäden zu prüfen.

Wie es funktioniert

Die Schwachstelle ist eine Umgehung der Authentifizierung, die es einem Remote-Angreifer ohne Authentifizierung ermöglicht, beliebige Befehle auszuführen. Laut Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, ist die Ursache bemerkenswert einfach. Eine einzelne Anfrage mit einem speziell gestalteten "X-DSCGI-PATH"-Header reicht aus, um die Authentifizierungssteuerung zu umgehen. Dieser Header gewährt Zugriff auf sensible interne Funktionen, die sonst eingeschränkt sein sollten, und öffnet effektiv die Tür zum System ohne gültige Anmeldedaten.

Previdian-Gründer Ryan Dewhurst erklärte, dass Bedrohungsakteure diesen Header nutzen, um einen internen CGI-Handler zu erreichen. Sobald der Zugriff erlangt ist, laden Angreifer Perl-Skripte hoch, die als ZIP-Dateien getarnt sind. Diese Skripte geben eindeutige Marker zurück, um zu bestätigen, ob die Remote-Code-Ausführung erfolgreich war. Während die von Previdian beobachteten aktuellen Payloads primär die Codeausführung testen, anstatt vollständige Malware bereitzustellen, warnen Experten, dass eine weaponisierte Ausnutzung wahrscheinlich schnell folgen wird. Die Einfachheit des Exploit-Mechanismus bedeutet, dass er leicht automatisiert und skaliert werden kann.

Forscher von Volexity stellten fest, dass der Bedrohungsakteur UTA0576 diese Schwachstelle mit einem Privilegieneskalationsfehler kombinierte, um eine nicht authentifizierte Codeausführung auf Root-Ebene zu erreichen. Im Gegensatz zu typischen Angriffen, die persistente Malware oder Web-Shells hinterlassen, nutzte dieser Akteur das Gerät für jeden ausgeführten Befehl erneut aus. Sie manipulierten aktiv Protokolle und entfernten temporäre Artefakte, um Erkennungstools wie Ivantis Integrity Checker Tool zu umgehen. Dieser dateilose Ansatz macht die traditionelle forensische Analyse schwieriger, da weniger statische Indikatoren für einen Kompromiss auf der Festplatte verbleiben.

Wichtige Details

• Schwachstellen-ID: CVE-2026-104935 mit einem CVSS-Wert von 8,6.
• Betroffene Versionen: Ivanti Connect Secure 25.1.1.1 und früher, 25.1.2.2 und früher sowie 22.8R2.4 und früher.
• Exploit-Mechanismus: Umgehung der Authentifizierung über einen gestalteten "X-DSCGI-PATH"-Header, der zu Remote-Code-Ausführung führt.
• Aktive Bedrohungen: Seit Anfang Oktober 2026 von Previdian, Volexity und Defused Cyber beobachtet.
• Bedrohungsakteur: UTA0576, eingeschätzt als kriminell motiviert, nutzt dateilose Techniken und Protokollmanipulation.
• Bundesfrist: FCEB-Behörden müssen bis zum 16. Oktober 2026 Patches installieren.

Warum es wichtig ist

Für Software-Ingenieure und IT-Leiter unterstreicht dieser Vorfall das anhaltende Risiko, das von komplexen Netzwerk-Appliances ausgeht. Ivanti Connect Secure hat eine Geschichte von Schwachstellen; dieses Problem gesellt sich zu 14 weiteren auf der CISA-KEV-Liste. Die Geschwindigkeit, mit der die Ausnutzung von gezielten Angriffen zu breiterem Scanning überging, deutet darauf hin, dass eine Massenausnutzung unmittelbar bevorsteht. Organisationen, die auf diese Appliances für den Fernzugriff angewiesen sind, sehen sich unmittelbaren Risiken durch Zugangsdatendiebstahl und laterale Bewegung innerhalb ihrer Netzwerke gegenüber. Die Tatsache, dass der Exploit einfach und dateilos ist, bedeutet, dass Standard-Endpoint-Schutz den initialen Einbruch möglicherweise nicht erkennt.

Die betrieblichen Auswirkungen sind erheblich, da die Behebung nicht nur eine einfache Patch-Anwendung ist. Die Empfehlung der CISA für eine Werkszurücksetzung und Konfigurationswiederherstellung zeigt, dass die Integrität der bestehenden Installation nach einem Kompromiss nicht mehr vertrauenswürdig ist. Dieser Prozess führt zu Ausfallzeiten und operativen Reibungsverlusten und erfordert sorgfältige Planung. Darüber hinaus impliziert die Notwendigkeit, alle Zugangsdaten zurückzusetzen und Zertifikate neu auszustellen, eine umfassende Sicherheitsüberholung für jede betroffene Organisation. Ingenieure müssen die forensische Untersuchung priorisieren, um sicherzustellen, dass keine Hintertüren verbleiben, da die Angreifer ihre Aktivitäten absichtlich verschleierten.

Was Sie tun können

• Aktualisieren Sie Ivanti Connect Secure Appliances sofort auf die neueste gepatchte Version.
• Durchsuchen Sie Netzwerkprotokolle auf eingehende Anfragen, die den "X-DSCGI-PATH"-Header enthalten.
• Führen Sie Speicher- und Netzwerkforensik durch, um Anzeichen einer Ausnutzung zu identifizieren, wenn das Patching verzögert wurde.
• Führen Sie bei Verdacht auf einen Kompromiss eine Werkszurücksetzung durch, aktualisieren Sie das System und stellen Sie die Konfiguration aus einem Backup wieder her.
• Setzen Sie alle Benutzer-, Administrator- und Domänenpasswörter zurück und stellen Sie gespeicherte Zertifikate und API-Schlüssel neu aus.
• Prüfen Sie Ivantis Upgrade- und Migrationskompatibilitätsleitfaden, insbesondere für Nutzer der Version 22.8.