Folgen Ivanti hat CVE-2026-104935 offengelegt, eine schwerwiegende Schwachstelle in Ivanti Connect Secure (ICS), die aktiv in realen Angriffen ausgenutzt wird. Die Schwachstelle hat einen CVSS-Score von 8.6 und ermöglicht es nicht authentifizierten Angreifern, die Authentifizierung zu umgehen und beliebige Befehle auf anfälligen VPN-Geräten auszuführen.
Die Schwachstelle wurde bekannt, nachdem Volexity ein kompromittiertes Ivanti Connect Secure-Gerät untersucht hatte, das zu diesem Zeitpunkt vollständig gepatcht war. Der zuvor unbekannte Bedrohungsakteur, bekannt als UTA0576, kette die in CVE-2026-104935 abgedeckte Authentifizierungsumgehung und Remote-Code-Ausführung mit einer separaten Zero-Day-Privilegieneskalation, um nicht authentifizierte Root-Befehlsausführung zu erreichen.
Die beobachtete Kampagne demonstriert die Sicherheitsrisiken, die mit Schwachstellen in internetfähiger VPN-Infrastruktur verbunden sind. Nachdem sie Root-Rechte erlangt hatten, zielten die Angreifer auf Anmeldeinformationen, Active Directory-Daten, LAPS-Passwörter, BitLocker-Wiederherstellungsschlüssel und andere sensible Informationen, die seitliche Bewegungen tiefer in die Opferumgebung unterstützen könnten.
Ivanti bestätigte am 13. Oktober 2026, dass sie von begrenzter Ausnutzung in der Praxis wussten, und drängte Organisationen, die betroffene Versionen nutzen, sofort zu handeln. CISA fügte die Schwachstelle anschließend zu ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu.
Sicherheitsteams können die AI-erfasste Erkennungsintelligenz-Plattform von SOC Prime nutzen, um die Untersuchung neuer Bedrohungen zu beschleunigen und Erkennungsinhalte über SIEM-, EDR-, XDR- und Data-Lake-Umgebungen zu operationalisieren.
Prime Architect kann Erkennungsingenieuren weiter helfen, indem es neu auftretende Bedrohungsinformationen in Erkennungslogik, Suchabfragen und umgebungsspezifische Regeln verwandelt, während Prime Hunt retrospektive Untersuchungen über organisatorische Telemetrie ermöglicht.
CVE-2026-104935 Analyse
CVE-2026-104935 betrifft spezifische Versionen von Ivanti Connect Secure und kombiniert zwei Schwächen, die von Angreifern genutzt werden, um von einer nicht-authentifizierten Webanfrage zur Ausführung von beliebigem Code im Kontext des cgi-server-Kontos überzugehen.
Die Schwachstelle ist als Authentifizierungsumgehung durch Spoofing unter CWE-290 kategorisiert. Laut Ivanti kann das Problem remote ohne Anmeldedaten oder Benutzerinteraktion ausgenutzt werden und hat einen CVSS-Score von 8.6.
Volexity rekonstruierte die Ausnutzungskette, während sie ein Gerät untersuchten, das Ivanti Connect Secure 22.8R2.4, Build 19097, lief. Das Gerät galt als vollständig gepatcht, als bösartige Aktivitäten am 3. Oktober 2026 begannen. Forscher begannen am 5. Oktober mit der Untersuchung des Vorfalls und arbeiteten anschließend mit Ivanti zusammen, um Speicher-, Datenträgerimages und Kerndumps von dem betroffenen System zu analysieren.
Die erste Stufe missbraucht das Anforderungsweiterleitungsverhalten im Zusammenhang mit dem öffentlich zugänglichen /dana-na/auth/url_default/welcome.cgi-Endpunkt. Angreifer können einen X-DSCGI-PATH HTTP-Header angeben, der auf eine CGI-Ressource verweist, die normalerweise eine Authentifizierung erfordert.
Die Sicherheitsentscheidung basiert auf der öffentlichen URL, während der Header das tatsächliche Script steuert, das die Anforderung erhält. Diese Diskrepanz ermöglicht es einem Angreifer, nicht authentifizierte Anforderungen an geschützte CGI-Funktionalitäten weiterzuleiten.
UTA0576 nutzte diesen Mechanismus, um wu.cgi zu erreichen, einen Upload-Handler, der die zweite Schwachstelle enthält. Der Angreifer reichte ein bösartiges Perl-Skript ein, das als .zip-Datei getarnt war. Der Handler speicherte den hochgeladenen Inhalt vorübergehend unter /home/runtime/tmp/, bevor überprüft wurde, ob die Datei ein gültiges ZIP-Archiv war.
Obwohl eine ungültige Datei anschließend gelöscht wurde, nutzten Angreifer den kurzen Zeitraum zwischen Dateierstellung und Entfernung aus. Parallele Anforderungen, die auf die temporäre Datei durch den X-DSCGI-PATH verwiesen, ermöglichten es, dass die Perl-Nutzlast vor der Löschung ausgeführt wurde.
Die initiale Nutzlast startete Bash und dann eine kodierte Python-Ebene, die primär im Speicher existierte. An diesem Punkt erhielt der Angreifer Codeausführung als weniger privilegiertes cgi-server-Konto.
Um Privilegien zu eskalieren, kette UTA0576 eine separate Zero-Day-Schwachstelle ein, die den privilegierten Dienst dsinvoked und den DSCache-Konfigurationsspeicher betrifft. Die Angreifer modifizierten die im Speicher befindliche Kopie einer Ivanti-Bibliothek, änderten die Konfiguration einer privilegierten Wartungsaufgabe und ließen dsinvoked Angreifer-kontrollierten Perl-Code als Root ausführen.
Nachdem der Root-Zugriff erreicht wurde, stellte der Exploit die modifizierte im Speicher befindliche Konfiguration und den Bibliothekszustand wieder her. Er entfernte auch relevante Einträge aus den Ivanti-Debug-Logs und den Linux-Audit-Logs, wodurch die forensisch verfügbaren Artefakte auf der Festplatte erheblich reduziert wurden.
Dieses Verhalten ist besonders bedeutsam, da Ivantis Integrity Checker Tool sich darauf konzentriert, unerwartete Dateiänderungen zu erkennen. Da Teile dieses Exploits den Code nur im Speicher ändern und vorübergehende Konfigurationsänderungen anschließend wiederherstellen, fand Volexity heraus, dass der Angriff dem Tool ausweichen konnte.
Die Angreifer installierten auch keine konventionelle persistente Web-Shell oder Hintertür der Anfangsstufe. Stattdessen führte UTA0576 bei Bedarf die vollständige Ausnutzungskette erneut durch und gab den Befehlsoutput direkt durch den HTTPS-Verkehr des Exploits zurück.
Die nach der Ausnutzung durchgeführten Aktivitäten konzentrierten sich stark auf Anmeldeinformationen und Active Directory. Volexity beobachtete, dass die Angreifer Anmeldeinformationen extrahierten, die auf den VPN-Geräten gespeichert waren, Active Directory abfragten, nach Windows-LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln suchten, Passwort-Spraying durchführten, Authentifizierungsprotokolle inspizierten und LDAP-Verkehr sammelten.
Der Bedrohungsakteur nutzte auch benutzerdefinierte Python- und Kerberos-Tools, um Anmeldeinformationen zu testen und Zugriff auf sensible Verzeichniseigenschaften zu erhalten. Dateien, die mit Erkundung und Anmeldeinformationsammlung in Zusammenhang standen, wurden vorübergehend unter /tmp/ gestaged, bevor sie exfiltriert und gesäubert wurden.
Die Attribution bleibt ungewiss. Volexity verfolgt den Akteur als UTA0576 und schätzt mit geringer Zuversicht ein, dass seine Motivation eher kriminell als Spionage sein könnte. Die Forscher schätzten auch mit mittlerer Zuversicht ein, dass der Akteur möglicherweise große Sprachmodelle zur Unterstützung bei der Exploit-Entwicklung oder bei Aktivitäten nach der Ausnutzung verwendet hat, basierend auf den operationellen Merkmalen des Eindringens.
Es wurde in den überprüften Hauptquellen zum Zeitpunkt der Veröffentlichung kein breit verfügbarer, validierter CVE-2026-104935 PoC identifiziert. Volexity hat jedoch erhebliche technische Details über die Angriffskette veröffentlicht, was bedeutet, dass Organisationen davon ausgehen sollten, dass weitere Akteure versuchen könnten, die Technik nachzubilden.
Zur Erkennung von CVE-2026-104935 sollten Verteidiger die hohe Anzahl von Anforderungen an /dana-na/auth/url_default/welcome.cgi überwachen, insbesondere wenn der X-DSCGI-PATH-Header auf eine andere CGI-Ressource oder eine temporäre Datei verweist.
CVE-2026-104935-Minderung
Ivanti hat Korrekturen für die von der CVE abgedeckten Authentifizierungsumgehungs- und RCE-Komponenten veröffentlicht. Organisationen, die betroffene Connect Secure-Versionen verwenden, sollten sofort aktualisieren, anstatt sich nur auf Integritätsprüfungen zu verlassen.
Ivantis Sicherheitsanleitung vom Oktober identifiziert fixierte Versionen für unterstützte Zweige, einschließlich 22.8R2.5, 25.1.1.2, 25.1.3.0 und 25.1.3.1, abhängig von der eingesetzten Code-Linie. Ivanti empfiehlt, so bald wie möglich auf die 25.x-Zweig zu wechseln, da die 22.x-Code-Linie dem Lebensende nähert.
Die separate Privilegieneskalations-Schwachstelle, die in der beobachteten Drei-Zero-Day-Kette verwendet wurde, war noch nicht behoben, als Volexity seine Analyse am 13. Oktober veröffentlichte. Ivanti bereitete einen Patch für eine zukünftige Veröffentlichung vor. Dies macht die Installation der CVE-2026-104935-Korrekturen besonders wichtig, da das Blockieren der initialen Authentifizierungsumgehung und RCE Angreifer daran hindert, die Stufe zu erreichen, die erforderlich ist, um die lokale Privilegieneskalation auszunutzen.
Organisationen sollten auch weiterhin Ivantis Integrity Checker Tool ausführen, wie vom Anbieter empfohlen, sollten ein sauberes Ergebnis jedoch nicht als endgültigen Beweis dafür behandeln, dass keine Ausnutzung stattgefunden hat. Ivanti selbst empfiehlt, Updates und Integritätsprüfungen mit Netzwerküberwachung, Protokollprüfung, Zugriffskontrollen und fortlaufender Gerätevalidierung zu kombinieren.
Zur Erkennung von CVE-2026-104935-Ausnutzung sollten Verteidiger HTTP-Telemetrie auf Abweichungen zwischen der angeforderten URL und dem Wert des X-DSCGI-PATH-Headers überprüfen. Besonders verdächtige Werte, die von Volexity beobachtet wurden, sind Pfade, die auf wu.cgi oder Dateien unter /home/runtime/tmp/ verweisen.
Sicherheitsteams sollten auch /tmp/ auf unerklärliche Skripte oder Erkennungsartefakte überprüfen und unerwartete Aktivitäten untersuchen, die von der VPN-Appliance aus in Richtung Active Directory, LDAP-Dienste, DNS-Infrastruktur oder interne Authentifizierungssysteme ausgehen.
Bekannte CVE-2026-104935 IOCs aus dem untersuchten Vorfall umfassen die vom Angreifer kontrollierte IP-Adresse 108.165.147[.]64, verdächtige Aktivitäten im Zusammenhang mit /data/.icscap/ und wiederholte Anforderungen, die den freiliegenden Begrüßungs-CGI-Pfad anvisieren. Diese Indikatoren sollten neben Verhaltensdetektion verwendet werden, da Angreifer leicht Infrastrukturen austauschen oder temporäre Dateinamen ändern können.
Organisationen, die Anzeichen eines Kompromisses identifizieren, sollten Netzwerk- und Speicherforensik durchführen, anstatt sich ausschließlich auf eine Festplattenuntersuchung zu verlassen. Anmeldeinformationen, die auf oder über die Appliance zugänglich sind, sollten als potenziell kompromittiert angesehen und nach der Eindämmung gedreht werden, einschließlich LDAP-Dienste-Anmeldedaten.
Verteidiger sollten zusätzlich Active Directory auf verdächtige LDAP-Abfragen, Passwort-Spraying, Zugriff auf LAPS- oder BitLocker-Wiederherstellungsattribute, anomale Kerberos-Aktivitäten und laterale Bewegungen, die von der VPN-Appliance ausgingen, untersuchen.
CISA fügte die Schwachstelle am 13. Oktober 2026 dem Katalog der bekannten ausgenutzten Schwachstellen hinzu und setzte eine Frist zur Behebung bis zum 16. Oktober für betroffene US-amerikanische zivile Bundesbehörden. Dies bestätigt, dass Organisationen Patching als dringende Priorität behandeln sollten, anstatt auf eine breitere Ausnutzung zu warten.
Die AI-erfasste Erkennungsintelligenz-Plattform von SOC Prime kann Sicherheitsteams dabei helfen, diese Bedrohungsinformationen zu operationalisieren, nach verwandten Verhaltensweisen zu suchen und Erkennungen an verfügbare Netzwerk-, Identitäts- und Endpunkt-Telemetrie anzupassen.
FAQ
Was ist CVE-2026-104935 und wie funktioniert es?
CVE-2026-104935 ist eine aktiv ausgenutzte Schwachstelle in Ivanti Connect Secure, die eine Authentifizierungsumgehungs- und Remote-Code-Ausführungskette umfasst. Angreifer können das Anforderungsweiterleitungsverhalten manipulieren, um ohne Authentifizierung auf einen geschützten CGI-Handler zuzugreifen, und die Handhabung temporärer Dateien ausnutzen, um bösartigen Code als cgi-server-Konto auszuführen. In beobachteten Angriffen wurde dies mit einer separaten Zero-Day-Privilegieneskalation kombiniert, um Root-Zugriff zu erlangen.
Wann wurde CVE-2026-104935 zum ersten Mal entdeckt?
Ivanti teilte mit, dass sein Produktsicherheitsteam einen Teil der Schwachstelle zuvor identifiziert und im Juli 2026 in der Version 25.1.3.0 Schutz inkludiert hatte. Volexity entdeckte unabhängig aktive Ausnutzung bei der Untersuchung verdächtiger Aktivitäten am 5. Oktober und stellte fest, dass die Angriffe am 3. Oktober begonnen hatten. Ivanti veröffentlichte die Schwachstelle öffentlich und bestätigte am 13. Oktober 2026 begrenzte Ausnutzung.
Welche Auswirkung hat CVE-2026-104935 auf Systeme?
Erfolgreiche Ausnutzung ermöglicht einem nicht authentifizierten Remote-Angreifer die Ausführung von Code auf einer betroffenen Ivanti Connect Secure-Appliance. Wenn mit der von Volexity beobachteten separaten Privilegieneskalations-Schwachstelle verknüpft, können Angreifer Root-Rechte erlangen. Im untersuchten Vorfall stahl UTA0576 Anmeldeinformationen, befragte Active Directory, suchte nach LAPS-Passwörtern und BitLocker-Wiederherstellungsschlüsseln, erfasste LDAP-Daten und bereitete sich auf potenzielle laterale Bewegungen vor.
Kann mich CVE-2026-104935 auch im Jahr 2026 noch betreffen?
Ja. Anfällige Ivanti Connect Secure Appliances, die nicht aktualisiert wurden, bleiben einem unmittelbaren Risiko ausgesetzt, da die Ausnutzung in der Praxis bestätigt wurde. CISA hat die Schwachstelle in seinen KEV-Katalog aufgenommen, während Ivanti Kunden, die betroffene Versionen verwenden, drängt, ohne Verzögerung zu aktualisieren.
Wie kann ich mich vor CVE-2026-104935 schützen?
Aktualisieren Sie Ivanti Connect Secure sofort auf die entsprechende korrigierte Version, führen Sie weiterhin das Integrity Checker Tool aus und überwachen Sie den Netzwerkverkehr und Protokolle auf verdächtiges Anforderungsweiterleitungsverhalten. Da der beobachtete Exploit Festplattenartefakte minimieren kann, sollten Organisationen mit vermuteter Exposition Speicher- und Netzwerkforensik durchführen und potenziell kompromittierte Anmeldeinformationen rotieren. Administratoren sollten weiterhin die Anbieterrichtlinien für aktualisierte Details zu CVE-2026-104935 überprüfen, einschließlich des anstehenden Fixes für die separate Privilegieneskalationsschwachstelle.
