Sicherheitswarnungen · 14. Oktober 2026
Ivanti Connect Secure: VPN-Zugang lässt sich ohne Konto bis zum Root übernehmen
Angreifer verketten drei Lücken im VPN-Gateway von Ivanti und übernehmen es ohne Konto vollständig. Ende Oktober kamen neue Updates, die frühere Korrektur reicht nicht mehr.
Worum es geht
Ivanti Connect Secure
Ivanti Connect Secure ist ein verbreitetes VPN-Gateway für den Fernzugang ins Firmennetz. Angreifer können Daten fälschen, mit denen das Gerät die Identität von Benutzern prüft, und anschließend ohne Konto Befehle auf dem Gerät ausführen.
Nachtrag 31. Oktober: Ivanti hat am 29. Oktober zwei weitere Lücken bestätigt, die in derselben Angriffskette genutzt werden. CVE-2026-118527 erlaubt das Ablegen eigener Dateien an vorhersehbarer Stelle, CVE-2026-111357 hebt die Rechte bis zum Systemverwalter (Root) an. Die US-Behörde CISA führt beide seit 30. Oktober als aktiv ausgenutzt. Die im Oktober genannten Versionen 25.1.1.2 und 22.8R2.5 sind deshalb nicht mehr ausreichend.
Die Angreifer haben laut Sicherheitsforschern keine Hintertüren abgelegt, sondern gezielt Zugangsdaten abgegriffen. Über ein Dienstkonto des Geräts fragten sie das Active Directory ab und suchten nach lokalen Administrator-Kennwörtern und BitLocker-Wiederherstellungsschlüsseln. Sie löschten Einträge aus Protokollen. Eine unauffällige Integritätsprüfung schließt einen Einbruch daher nicht aus.
Betroffen
- Ivanti Connect Secure 25.1.1.2 und älter
- 22.8R2.5 und älter
- Für die Zweige 25.1.2 und 25.1.3 die aktuelle Sicherheitsmitteilung von Ivanti prüfen
Behoben
- Ivanti Connect Secure 25.1.1.3 bzw. 22.8R2.6
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Sofort auf 25.1.1.3 bzw. 22.8R2.6 aktualisieren, auch wenn das Oktober-Update bereits eingespielt wurde.
- 02
Das Integritätsprüfwerkzeug von Ivanti ausführen und zusätzlich die Protokolle prüfen, weil das Werkzeug nicht jeden Einbruch erkennt.
- 03
Das Dienstkonto, mit dem das Gateway auf das Active Directory zugreift, auf ungewöhnliche Abfragen prüfen und sein Kennwort ändern.
- 04
Bei Verdacht auf Kompromittierung lokale Administrator-Kennwörter (LAPS), BitLocker-Wiederherstellungsschlüssel und alle über das VPN genutzten Zugangsdaten erneuern.
- 05
Den Umstieg von 22.7 und 22.8 auf 25.1 planen. Diese Zweige laufen am 31. Jänner 2027 aus.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 14. Oktober 2026 · aktualisiert am 31. Oktober 2026. Grundlage: ITdaily · The Hacker News · GBHackers · Security Affairs. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu