Schwachstellen in Ivanti Connect Secure für unauthentifizierten Root-Zugriff verkettet

Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat am Freitag, den 31. Oktober 2026, zwei kritische Sicherheitslücken in Ivanti Connect Secure (ICS) in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Diese Maßnahme folgt der bestätigten aktiven Ausnutzung in freier Wildbahn durch einen zuvor undokumentierten Bedrohungsakteur und markiert eine erhebliche Eskalation der Angriffe auf dieses weit verbreitete Gateway für sicheren Zugriff.

Was ist passiert?

Die beiden neu gelisteten Schwachstellen sind CVE-2026-111357 und CVE-2026-118527. CVE-2026-111357 weist einen CVSS-Wert von 8,8 auf und betrifft das Fehlen der Authentifizierung für eine kritische Funktion, was einem lokal authentifizierten Angreifer die Rechteausweitung ermöglicht. CVE-2026-118527 hat einen CVSS-Wert von 4,3 und resultiert aus der Generierung vorhersagbarer Zahlen oder Kennungen, wodurch ein entfernter authentifizierter Angreifer Dateien mit kontrolliertem Inhalt an einen bekannten Speicherort auf der Festplatte hochladen kann.

Diese Fehler sind keine isolierten Probleme, sondern Teil einer ausgefeilten Exploit-Kette, die Anfang Oktober 2026 erstmals von Volexity dokumentiert wurde. Die Kette nutzt diese beiden Schwachstellen zusammen mit einer Umgehung der Authentifizierung, CVE-2026-104935 (CVSS 8,6), die die CISA bereits am 13. Oktober 2026 in den KEV-Katalog aufgenommen hatte. Der hinter diesen Angriffen stehende Bedrohungsakteur, bezeichnet als UTA0576, verwendet diese Kombination, um eine nicht authentifizierte Codeausführung auf Root-Ebene auf den Zielsystemen zu erreichen.

Im Gegensatz zu typischen Ransomware- oder Malware-Deployments scheinen die Ziele von UTA0576 auf Spionage und die Ernte von Zugangsdaten ausgerichtet zu sein. Beobachtungen deuten darauf hin, dass der Akteur Zugangsdaten und begrenzte Active Directory-Metadaten extrahiert, Host-Reconnaissance durchführt und gezielt nach Administrator-Passwörtern sowie BitLocker-Wiederherstellungsschlüsseln sucht. Dies deutet auf einen Ansatz mit Fokus auf Hochwertziele hin, statt auf wahllose Störungen.

Wie es funktioniert

Der Angriff basiert auf der Verkettung dreier unterschiedlicher Schwachstellen, um mehrere Verteidigungsebenen zu umgehen. Er beginnt mit CVE-2026-104935, einer Umgehung der Authentifizierung, die es dem Angreifer ermöglicht, ohne gültige Zugangsdaten in das System einzudringen. Sobald er sich im System befindet, nutzt der Angreifer CVE-2026-118527, um schädliche Dateien an einen vorhersagbaren Ort auf der Festplatte hochzuladen, was effektiv eine Remote-Code-Ausführung (RCE) im Kontext der Anwendung ermöglicht.

Der letzte Schritt umfasst CVE-2026-111357, eine lokale Schwachstelle zur Rechteausweitung. Da die vorherigen Schritte dem Angreifer einen Einstiegspunkt mit eingeschränkten Berechtigungen verschaffen, ermöglicht diese Schwachstelle die Ausweitung des Zugriffs auf die Root-Ebene. Durch die Kombination aus Authentifizierungsumgehung, RCE und Rechteausweitung erlangt der Akteur die vollständige Kontrolle über das Gerät, ohne sich jemals legitim authentifizieren zu müssen. Volexity merkte an, dass diese Kette eine "nicht authentifizierte Codeausführung auf Root-Ebene" erreicht, was einer vollständigen Kompromittierung der Appliance gleichkommt.

Wichtige Details

• CVE-2026-111357: CVSS 8,8, fehlende Authentifizierung für kritische Funktion, ermöglicht lokale Rechteausweitung.
• CVE-2026-118527: CVSS 4,3, vorhersagbare Kennungen ermöglichen das Hochladen von Dateien aus der Ferne an bekannte Orte.
• CVE-2026-104935: CVSS 8,6, Umgehung der Authentifizierung, am 13. Oktober 2026 zum KEV hinzugefügt.
• Bedrohungsakteur: UTA0576, zuvor undokumentiert, konzentriert sich auf die Extraktion von Zugangsdaten und Metadaten.
• Behobene Versionen: ICS 25.1.1.3 (behebt 25.1.1.2 und ältere Versionen) und 22.8R2.6 (behebt 22.8R2.5 und ältere Versionen).
• Fristen: FCEB-Behörden müssen CVE-2026-111357 bis zum 2. November 2026 und CVE-2026-118527 bis zum 13. November 2026 patchen.

Warum das wichtig ist

Für Engineering- und IT-Führungsteams unterstreicht dieser Vorfall die Gefahr der Verkettung von Schwachstellen. Ein einzelner Fehler mit einem moderaten CVSS-Wert wie CVE-2026-118527 könnte in standardmäßigen Risikobewertungen priorisiert werden, aber wenn er mit anderen Schwächen kombiniert wird, wird er zu einem kritischen Glied in einer Kette, die zur vollständigen Systemkompromittierung führt. Dies verstärkt die Notwendigkeit, Sicherheitspatches ganzheitlich und nicht isoliert zu betrachten, insbesondere bei Perimeter-Geräten wie Gateways für sicheren Zugriff.

Das Verhalten von UTA0576 verschiebt auch den defensiven Fokus von der bloßen Erkennung von Malware hin zur Hygiene der Zugangsdaten und zur Überwachung lateraler Bewegungen. Da der Angreifer nach BitLocker-Schlüsseln und Active Directory-Metadaten sucht, können traditionelle Endpoint-Protection-Lösungen die Aktivität möglicherweise nicht als bösartig einstufen, wenn kein Binär-Payload abgelegt wird. Teams müssen sicherstellen, dass Logging- und Monitoring-Lösungen so konfiguriert sind, dass sie ungewöhnliche Enumerationsaktivitäten und Muster beim Zugriff auf Zugangsdaten erkennen, selbst wenn diese von vertrauenswürdigen internen Diensten stammen.

Was Sie tun können

• Aktualisieren Sie Ivanti Connect Secure sofort auf Version 25.1.1.3 oder 22.8R2.6, abhängig von Ihrem aktuellen Zweig.
• Stellen Sie sicher, dass keine unbefugten Dateien in bekannte beschreibbare Verzeichnisse auf Ihren ICS-Appliances hochgeladen wurden.
• Rotieren Sie alle Administrator-Passwörter und BitLocker-Wiederherstellungsschlüssel, die auf betroffenen Systemen gespeichert sind oder von dort aus zugänglich sind.
• Prüfen Sie Protokolle auf Anzeichen von Host-Reconnaissance oder ungewöhnlichen Abfragen von Active Directory-Metadaten seit Anfang Oktober 2026.
• Erzwingen Sie strenge Netzwerksegmentierung, um die Auswirkungen zu begrenzen, falls eine Appliance kompromittiert wird, und verhindern Sie laterale Bewegungen.
• Überwachen Sie Indikatoren für Kompromittierungen im Zusammenhang mit UTA0576, wobei der Fokus auf der Extraktion von Zugangsdaten liegen sollte, nicht nur auf Malware-Signaturen.