Das Wichtigste in Kürze
VPN-Gateways mit Ivanti Connect Secure werden über eine Kette aus drei Zero-Days aktiv angegriffen, die einem nicht authentifizierten Angreifer Root-Rechte verschafft – selbst auf vollständig gepatchten Appliances. Ivanti hat am 13. Oktober 2026 Fixes für zwei der Lücken als CVE-2026-104935 veröffentlicht, die US-Behörde CISA setzte Bundesbehörden eine Frist bis zum 16. Oktober. Ein Fehler zur Rechteausweitung bleibt ungepatcht; Teams, die Remote-Zugriff als Teil ihrer Cloud- und DevOps-Infrastruktur betreiben, müssen deshalb gleichzeitig patchen und nach Spuren suchen.
Was ist bei Ivanti Connect Secure passiert?
Volexity begann nach eigenen Angaben am 5. Oktober mit der Untersuchung einer verdächtigen Connect-Secure-Appliance und fand einen Angreifer, der Befehle als Root auf einem Gerät ausführte, auf dem alle verfügbaren Updates installiert waren. Die Gruppe, die Volexity als UTA0576 führt, nutzte die Appliance seit mindestens 3. Oktober aus; andere Berichte datieren die früheste bestätigte Ausnutzung auf den 1. Oktober. Laut Ivanti war vor der Veröffentlichung eine begrenzte Zahl von Kunden betroffen.
Ivanti veröffentlichte die Fixes am 13. Oktober. Laut CyberScoop hatte der Hersteller zumindest einen Teil des Problems bereits im Juni intern entdeckt, hielt aber kein Notfall-Release für nötig und plante die Korrektur für den regulären Produktzyklus ein – eine Entscheidung, die die Angreifer überholt haben. Die CISA nahm CVE-2026-104935 am selben Tag in ihren Katalog Known Exploited Vulnerabilities auf und gab zivilen US-Bundesbehörden drei Tage zur Behebung.
Wie funktioniert die Exploit-Kette?
Die Kette hat drei Glieder. Das erste ist eine Authentifizierungsumgehung im welcome.cgi-Handler der Appliance, über die eine nicht authentifizierte Anfrage an andere CGI-Skripte weitergeleitet werden kann. Das zweite ist ein Dateischreibfehler in wu.cgi, der diesen Zugang in Remote Code Execution verwandelt. Ivanti fasst beide unter CVE-2026-104935 zusammen und betont, die Komponente der nicht authentifizierten Remote-Code-Ausführung sei „vollständig behoben“.
Das dritte Glied ist eine Rechteausweitung, die den Angreifer vom Webprozess auf Root hebt. Ivanti hat sie bestätigt, aber weder einen Fix ausgeliefert noch eine öffentliche CVE vergeben. Praktisch bricht der Patch die Kette am Einstiegspunkt – deshalb ist er dringend. Jeder andere Zugang zur Appliance, etwa eine gestohlene Admin-Sitzung oder ein künftiger Web-Fehler, würde bis zum nächsten Release aber weiterhin bis Root reichen.
Warum ist dieser Einbruch so schwer zu erkennen?
UTA0576 installierte weder eine Web-Shell noch eine dauerhafte Hintertür. Volexity stellte fest, dass der Angreifer für jeden Befehl die komplette Exploit-Kette erneut ausführte, Ivanti-Bibliothekscode ausschließlich im Arbeitsspeicher patchte, den Konfigurationsspeicher anschließend wiederherstellte und seine Spuren aus den Geräteprotokollen löschte. Weil sich auf der Festplatte nichts ändert, meldet Ivantis Integrity Checker Tool – genau die Prüfung, auf die sich viele Teams nach früheren Connect-Secure-Vorfällen verlassen sollten – das Gerät als sauber.
Größer ist die Sorge, was der Angreifer mit diesem Zugang tat. Volexity beschreibt das Abgreifen von Zugangsdaten, Active-Directory-Dumps, Kerberoasting, LDAP-Abfragen nach LAPS-Passwörtern lokaler Administratoren und BitLocker-Wiederherstellungsschlüsseln, Password Spraying und den Mitschnitt von LDAP-Verkehr. Das VPN diente also als Sprungbrett in die Identitätsschicht – und der Patch macht nichts rückgängig, was vor dem Fix abgeflossen ist.
Was das für Teams in den USA und der EU bedeutet
Edge-Geräte bleiben in vielen Unternehmensnetzen das schwächste Glied. VPN-Gateways hängen direkt am Internet, halten privilegierte Zugangsdaten und sind selten von der Endpoint Detection erfasst, die Laptops und Server schützt. Dies ist die jüngste in einer langen Reihe von Connect-Secure-Zero-Days und zeigt: „voll gepatcht“ heißt nicht sicher, wenn der Fix-Zyklus eines Herstellers den Angreifern um Monate hinterherläuft.
Langfristig ist jetzt ein guter Zeitpunkt, um zu fragen, ob eine einzelne VPN-Appliance noch die Eingangstür sein sollte. Remote-Zugriff über identitätsbasierte Proxys, kurzlebige Zugangsdaten und segmentierte Admin-Pfade begrenzt, wie weit ein kompromittiertes Gerät reicht – und macht aus dem nächsten Edge-Zero-Day einen Vorfall statt eines Datenlecks.
Was bedeutet das für Unternehmen im DACH-Raum?
Im DACH-Raum ist Connect Secure bei Mittelständlern, Kommunen und Kliniken als Fernzugang verbreitet – und mit der Umsetzung von NIS2 fallen deutlich mehr Unternehmen unter Meldepflichten als zuvor. Für sie gilt: Ein erheblicher Sicherheitsvorfall verlangt eine Frühwarnung an das BSI binnen 24 Stunden; sind personenbezogene Daten betroffen, kommt die 72-Stunden-Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO hinzu. In der Schweiz müssen Betreiber kritischer Infrastrukturen Cyberangriffe seit April 2025 innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden.
Der Satz „Wir haben am ersten Tag gepatcht“ reicht dafür nicht. Entscheidend ist, ob vor dem Patch ausgenutzt wurde – und das lässt sich nur mit gesicherten Protokollen vorgelagerter Firewalls und Proxys belegen, nicht mit dem Gerät selbst. Sichern Sie diese Logs jetzt, bevor Aufbewahrungsfristen sie überschreiben, und dokumentieren Sie Prüfung und Entscheidung für den Fall einer späteren Nachfrage von Aufsicht oder Wirtschaftsprüfer.
Was Sie diese Woche tun sollten
- Patchen. Bringen Sie jede Ivanti-Connect-Secure-Appliance auf 22.8R2.5, 25.1.1.2, 25.1.3.0 oder 25.1.3.1.
- Jagen statt nur scannen. Durchsuchen Sie Web- und Proxy-Logs nach Anfragen an
/dana-na/auth/url_default/welcome.cgimit einemX-DSCGI-PATH-Header und prüfen Sie/tmp/auf der Appliance auf Rückstände, wie Volexity empfiehlt. - Über den Integrity Checker hinausgehen. Planen Sie für Geräte, die seit Anfang Oktober erreichbar waren, Speicher- und Netzwerkforensik oder eine Prüfung mit Herstellerunterstützung ein.
- Geheimnisse rotieren. Setzen Sie bei Verdacht Zugangsdaten zurück, die auf dem VPN zwischengespeichert oder über es vermittelt wurden, ebenso für Kerberoasting anfällige Dienstkonten, LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel.
- Meldepflichten klären. Prüfen Sie mit Datenschutz- und Compliance-Verantwortlichen, ob NIS2- oder DSGVO-Fristen laufen, und sichern Sie die Belege dafür.
- Den dritten Fix im Blick behalten. Verfolgen Sie Ivantis Advisory zum Update gegen die Rechteausweitung und halten Sie Management-Interfaces bis dahin vom Internet fern.
Häufige Fragen
Was ist CVE-2026-104935?
CVE-2026-104935 ist eine Schwachstelle mit hohem Schweregrad (CVSS 8,6) in Ivanti Connect Secure, veröffentlicht am 13. Oktober 2026. Sie umfasst eine Authentifizierungsumgehung im welcome.cgi-Handler der Appliance und einen Dateischreibfehler in wu.cgi, die verkettet einem entfernten Angreifer die Befehlsausführung ohne Anmeldung ermöglichen. Die CISA nahm sie am selben Tag in den Katalog Known Exploited Vulnerabilities auf.
Welche Versionen von Ivanti Connect Secure beheben die Zero-Day-Lücke?
Ivanti nennt 22.8R2.5, 25.1.1.2, 25.1.3.0 und 25.1.3.1 als gefixte Builds. Appliances mit 22.8R2.4 oder älter, 25.1.1.1 oder älter sowie 25.1.2.x sollten aktualisiert werden. Zivile US-Bundesbehörden hatten bis zum 16. Oktober 2026 Zeit für die Behebung.
Ist die Ivanti-Exploit-Kette vollständig gepatcht?
Nein. Volexity fand drei verkettete Lücken. Zwei sind unter CVE-2026-104935 behoben, damit entfällt die nicht authentifizierte Remote-Code-Ausführung. Die dritte, eine lokale Rechteausweitung auf Root, hat Ivanti bestätigt, der Fix ist aber erst für die kommenden Wochen angekündigt. Gepatchte Geräte müssen daher weiter überwacht werden.
Muss ein Unternehmen in Deutschland den Vorfall melden?
Das hängt vom Einzelfall ab. Fällt das Unternehmen unter NIS2 und liegt ein erheblicher Sicherheitsvorfall vor, ist eine Frühwarnung an das BSI binnen 24 Stunden vorgesehen. Wurden personenbezogene Daten verletzt, verlangt Art. 33 DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Grundlage der Entscheidung sollten gesicherte Logs sein, nicht nur der Patch-Status.
Quellen
Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days (October 13, 2026)
CyberScoop — Ivanti misses opportunity to fix vulnerability before attackers made it a zero-day (October 2026)
SecurityWeek — Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN (October 2026)
The Hacker News — Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access (October 2026)