Ivanti Connect Secure: Zero-Days aktiv ausgenutzt

Ivanti Connect Secure ist erneut Ziel aktiver Angriffe. Die US-Cybersicherheitsbehörde CISA hat am 30. Oktober 2026 zwei weitere Schwachstellen in ihren Katalog der aktiv ausgenutzten Lücken (KEV) aufgenommen: CVE-2026-111357 und CVE-2026-118527. Zusammen mit CVE-2026-104935, das bereits am 13. Oktober in den Katalog kam, entsteht eine Angriffskette, die einem Angreifer die vollständige Kontrolle über ein VPN-Gateway ermöglicht.

Für IT-Verantwortliche in Kommunen und im Mittelstand ist der Fall doppelt unangenehm. Die untersuchten Systeme galten als aktuell gepatcht, und die Angreifer blieben nicht an der Appliance stehen: Sie suchten gezielt nach LDAP-Zugangsdaten der Windows-Domäne, nach über LAPS verwalteten lokalen Administratorkennwörtern und nach BitLocker-Wiederherstellungsschlüsseln.

Der Vorfall in Kürze

Sicherheitsforscher von Volexity untersuchten eine Kompromittierung auf Ivanti Connect Secure 22.8R2.4 – einem Stand, der alle bis dahin bekannten Lücken schloss. Die Angreifer umgingen zuerst die Authentifizierung, führten anschließend eigenen Code aus und weiteten ihre Rechte bis auf Systemebene aus.

Die drei Lücken ergänzen sich gegenseitig: CVE-2026-104935 erlaubt Authentifizierungsumgehung und Codeausführung, CVE-2026-111357 die Rechteausweitung bis Root (Herstellerbewertung 8,8), CVE-2026-118527 vorhersagbare Dateinamen bei Uploads. Einzelne CVSS-Werte sind hier wenig aussagekräftig, kritisch ist die Verkettung.

Ivanti hat am 29. Oktober 2026 nachgeliefert. Die korrigierten Stände lauten 25.1.1.3 und 22.8R2.6. Wer im Oktober bereits auf 25.1.1.2 oder 22.8R2.5 aktualisiert hat, bleibt angreifbar – ein Punkt, der in Change-Listen leicht untergeht.

Fünf Handlungsempfehlungen

1. Inventar und Versionsstände belastbar erheben

Erfassen Sie alle Instanzen, auch virtuelle Testsysteme, Disaster-Recovery-Kopien und Standort-Gateways. Entscheidend ist der exakte Build, nicht die Hauptversion. Gleichen Sie ihn mit der aktuellen Versionsmatrix des Herstellers ab, statt eine Version pauschal zu übernehmen.

2. Flüchtige Daten sichern, bevor neu gestartet wird

Arbeitsspeicher, laufende Prozesse und aktuelle Protokolle sind bei dieser Angriffskette die wichtigsten Beweismittel. Ziehen Sie einen Snapshot, exportieren Sie die Logs und dokumentieren Sie offene Verbindungen, bevor jemand aus Gewohnheit rebootet. Ein Neustart vernichtet genau die Spuren, die eine Bewertung erst möglich machen.

3. Die Active-Directory-Seite mitprüfen

Prüfen Sie Dienstkonten, ihre Gruppenmitgliedschaften und die Anmeldeaktivitäten der vergangenen Wochen. Auffällig sind Anmeldungen außerhalb der Geschäftszeiten, neue Mitglieder in privilegierten Gruppen sowie Abfragen von LAPS-Kennwörtern und BitLocker-Schlüsseln durch Konten, die diese Rechte nie benötigt haben.

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4740,4768,4769,4776; StartTime=(Get-Date).AddDays(-30)}

4. Das Gateway selbst härten

Die Administrationsoberfläche gehört nicht ins offene Internet, sondern in ein Management-Netz mit Zwei-Faktor-Authentifizierung und Beschränkung auf definierte Quelladressen. Erzwingen Sie MFA für alle VPN-Benutzer, trennen Sie Administrations- von Benutzerzugängen und legen Sie fest, welche internen Netze ein Tunnel überhaupt erreichen darf.

5. Zugangsdaten vollständig rotieren

Nach einem bestätigten Abfluss reicht das Ändern eines einzelnen Passworts nicht. Tauschen Sie LDAP-Dienstkonten, über LAPS verwaltete lokale Administratorkennwörter, verdächtige Benutzerkonten, API-Schlüssel und Zertifikate der Appliance aus. Prüfen Sie zusätzlich, ob ausgelesene BitLocker-Schlüssel im Recovery-Store neu erzeugt werden müssen.

Was tun, wenn die Appliance kompromittiert ist

1. Sofort den Incident-Response-Prozess starten und die Geschäftsführung beziehungsweise Behördenleitung informieren – nicht erst nach der Ursachenanalyse.
2. Netzwerkseitig isolieren, ohne stromlos zu schalten: Port am Switch deaktivieren oder VLAN-Zuordnung ändern, damit der Arbeitsspeicher für die Forensik erhalten bleibt.
3. Beweise sichern: Speicherabbild, Logs, Konfigurationsstand sowie aktive Sitzungen und Verbindungen mit Zeitstempeln.
4. Die Appliance neu aufsetzen statt reinigen. Bei Manipulation im Speicher ist ein Rebuild mit fabrikneuem Image die einzige belastbare Variante.
5. Alle Secrets rotieren, die vom Gateway aus erreichbar waren: AD-Dienstkonten, Zertifikate, lokale Administratorpasswörter, Backup-Zugänge.
6. Rechtliche Pflichten prüfen. Bei personenbezogenen Daten greift die Meldepflicht nach DSGVO, Einrichtungen im Zuständigkeitsbereich des BSI melden zusätzlich über das BSI-Kontaktformular.
7. Nach dem Wiederanlauf die Überwachung verschärfen: Anomalien bei VPN-Anmeldungen, neue Konten, ungewöhnliche LDAP-Abfragen.

Empfehlung für die nächsten 30 Tage

Woche 1: Bestandsaufnahme, Patch auf 25.1.1.3 beziehungsweise 22.8R2.6, parallel Forensik. Woche 2: Rotation aller erreichbaren Zugangsdaten und Bereinigung der AD-Dienstkonten auf minimale Rechte. Woche 3: Härtung des Gateway-Zugriffs und Exposure-Review aller öffentlich erreichbaren Dienste. Woche 4: Notfallübung mit klaren Zuständigkeiten und eine Patch-Frist von sieben Tagen für Edge-Geräte im Regelbetrieb festschreiben.

Die Lehre aus diesem Fall ist unbequem: Ein Patch-Stand von gestern ist bei öffentlich erreichbaren Sicherheitsgateways kein beruhigendes Signal. Entscheidend ist, wie schnell ein Hersteller-Update den Weg in die Produktion findet – und ob danach jemand prüft, ob das System schon vorher kompromittiert war.

Quellen

• Windows FAQ: Ivanti Connect Secure – Neue Zero-Days aktiv ausgenutzt (31.10.2026)
• CISA: Known Exploited Vulnerabilities Catalog (abgerufen 01.11.2026)
• Canadian Centre for Cyber Security: Ivanti Security Advisory AV26-1035 (30.10.2026)
• Ivanti: Kundenportal mit Sicherheitshinweisen und Patch-Paketen

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.