Ivanti Connect Secure: drei Lücken ergeben root auf einem gepatchten VPN-Gerät

Am 13. Oktober 2026 hat Ivanti Updates für Connect Secure veröffentlicht, die CISA hat die Schwachstelle CVE-2026-104935 am selben Tag in ihren Katalog der ausgenutzten Lücken aufgenommen, und Volexity hat beschrieben, wie Angreifer drei Schwachstellen verketteten. Das Gerät, an dem Volexity die Kette fand, war nach eigener Angabe voll gepatcht, mit der damals aktuellen Version 22.8R2.4. Dieser Beitrag beruht allein auf den Quellen unten. Eine eigene Messung haben wir dazu nicht gemacht.

Die Kette in drei Gliedern

Volexity ordnet die Aktivität der Gruppe UTA0576 zu. Die erste Spur datiert vom 3. Oktober 2026, die Untersuchung begann am 5. Oktober. Die Kette besteht aus drei Gliedern.

Das erste ist eine Authentifizierungsumgehung in welcome.cgi, einem öffentlichen Anmeldeskript. Eine Anfrage kann im Header X-DSCGI-PATH eine geschützte CGI-Datei benennen. Die URL wird auf Zugriff geprüft, über das Ziel der Anfrage entscheidet aber der Header.

Das zweite Glied schreibt eine Datei und führt sie aus. In wu.cgi landet ein hochgeladenes Archiv auf der Platte, bevor geprüft wird, ob es ein ZIP ist. Der Angreifer startet es in dem kurzen Zeitfenster vor dem Löschen, eine Race Condition. Beide Glieder laufen unter CVE-2026-104935.

Das dritte Glied macht aus Codeausführung root. Der Broker dsinvoked vertraut Konfigurationsdaten aus DSCache. Der Angreifer verändert libdsplibs.so im Speicher, sodass eine Wartungsaufgabe mit Root-Rechten einen Perl-Interpreter startet. Für dieses Glied nennt Volexity keine CVE, und Ivanti arbeitet nach Angabe von Volexity und Rapid7 noch an einem Fix, erwartet in den kommenden Wochen.

Betroffene Versionen und Fixes

Die Tabelle gibt wieder, was Rapid7 aus Ivantis Advisory übernimmt. CISA nennt dieselben Obergrenzen der betroffenen Versionen.

Die Zweige 22.7.x und älter sind laut Hersteller nicht betroffen. Rapid7 gibt die Bewertung mit CVSS 8.6 an. Nach Ivanti steckt ein Teil des Fixes schon im Juli-Release 25.1.3.0, die Ausnutzung begann, während Ivanti den Fix in die anderen Zweige übertrug. Die Version 22.8 endet nach CISA am 31. Januar 2027.

Woran man eine Übernahme erkennt

Der Integrity Checker von Ivanti hat die Aktivität nicht gefunden, weil die Befehle im Speicher laufen. CISA rät bei Verdacht zu Netzwerk- und Speicherforensik. Volexity nennt diese Spuren, die sich in Protokollen und auf dem Gerät suchen lassen:

• Viele Anfragen an /dana-na/auth/url_default/welcome.cgi, bei denen X-DSCGI-PATH auf wu.cgi oder eine Datei unter /home/runtime/tmp/ zeigt, oder bei denen URL und Header-Pfad nicht zusammenpassen.
• Dateien in /tmp/, darunter ml.py, rq5.py, mk.py, rr.py, pu.txt, sp_out.txt und spray_hits.json.
• Ein Prozess dsstatmond, ein umbenanntes tcpdump aus dem versteckten Verzeichnis /data/.icscap/.
• Lücken oder Eingriffe in /home/runtime/dlogs/debuglog und /var/log/audit/audit.log.

Volexity bewertet die Gruppe mit geringer Sicherheit als finanziell motiviert und mit mittlerer Sicherheit als Nutzerin von Sprachmodellen für Exploit-Entwicklung und Nacharbeit. Das ist eine Einschätzung des Berichts, keine Feststellung.

Was Betreiber jetzt tun

1. Version prüfen und auf eine Fix-Version aktualisieren, außerhalb des normalen Patchzyklus.
2. Auf die Spuren oben prüfen, auch nach dem Update, denn der Fix räumt ein bereits übernommenes Gerät nicht auf.
3. Bei Verdacht nach der Anweisung der CISA vorgehen: Konfiguration sichern, das Gerät auf Werkseinstellungen zurücksetzen und neu aufsetzen oder virtuelle Instanzen neu bauen, Konfiguration zurückspielen, alle Kennwörter ändern, gespeicherte Zertifikate neu ausstellen und API-Schlüssel sowie Zugangsdaten zum Lizenzserver erneuern.
4. Den Zugriff auf die Verwaltungs- und Anmeldeoberfläche so weit einschränken, wie der Betrieb es erlaubt, bis auch das dritte Glied behoben ist.
5. Wer noch 22.8 betreibt, plant die Migration, denn der Zweig endet am 31. Januar 2027.

Was Foren dazu sagen

Wir haben auf Hacker News gesucht. Dort steht eine Einreichung des Volexity-Berichts mit 2 Punkten und ohne Kommentar (Beitrag). Eine fachliche Diskussion gibt es dort nicht, und für die Aussagen oben sind die Hersteller- und Forscherquellen maßgeblich.

So haben wir geprüft

Wir haben am 16. Oktober 2026 den Volexity-Bericht, die CISA-Meldung, den Rapid7-Beitrag und die Meldung von Help Net Security gelesen und gegeneinander abgeglichen. Abweichungen: Den Beginn der Aktivität gibt Help Net Security mit dem 1. Oktober an und Rapid7 mit „Anfang Oktober", Volexity nennt den 3. Oktober, und wir folgen Volexity. Ivantis eigenes Advisory haben wir nicht gelesen, die Versionstabelle stammt aus Rapid7 und der CISA-Meldung.

Weiterführende Quellen

Primärquellen

• Volexity, Chained Exploitation of Ivanti Connect Secure Zero-Days, 13.10.2026
• CISA, Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13.10.2026

Unabhängige Berichte

• Rapid7, Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935), 13.10.2026
• Help Net Security, Attackers chained three Ivanti zero-days to gain root on fully patched VPN appliances, 14.10.2026

Community

• Hacker News, 2 Punkte, kein Kommentar am 16.10.2026: news.ycombinator.com/item?id=50079288