Eine neu offengelegte Authentifizierungsumgehung in Ivanti Connect Secure wird bereits in Angriffen ausgenutzt, und CISA drängt Organisationen zum schnellen Handeln. Die als CVE-2026-104935 geführte Schwachstelle wird als hochgradig schwerwiegend eingestuft, und ein Analyst, der in der Berichterstattung von Cyber Daily zitiert wird, beschreibt sie als „unglaublich einfach" auszunutzen. Wenn Ihre Organisation dieses VPN-Gateway betreibt, sollte der Ivanti Connect Secure Zero-Day-Patch ganz oben auf Ihrer Liste stehen.

Die öffentlichen Details sind noch begrenzt, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und konzentriert sich auf praktische Schritte, die Sie ergreifen können.

Was CVE-2026-104935 ist und warum sie ausgenutzt wird

CVE-2026-104935 ist eine Authentifizierungsumgehung in Ivanti Connect Secure. Vereinfacht gesagt ermöglicht eine Authentifizierungsumgehung einem Angreifer, den Anmeldeschritt zu umgehen, der eigentlich Außenstehende von einem System fernhalten soll. Statt ein Passwort zu stehlen oder einen Benutzer zu täuschen, überspringt der Angreifer die Prüfung vollständig.

Zwei Details erklären, warum dies Aufmerksamkeit erregt. Erstens wird die Schwachstelle als Zero-Day beschrieben, die Angreifer bereits ins Visier genommen haben. Zweitens bezeichnete ein Analyst sie als „unglaublich einfach" auszunutzen. Einfache Schwachstellen, die keine Anmeldedaten und wenig Können erfordern, neigen dazu, sich schnell zu verbreiten, weil mehr Angreifer sie nutzen können und automatisiertes Scannen praktikabel wird.

CISA hat zu schnellem Handeln gedrängt. Der Quellartikel liefert uns keine weiteren technischen Details, wie betroffene Versionsnummern oder die Identität der Angreifer, daher sollten Sie für diese Details die offizielle Empfehlung von Ivanti konsultieren, anstatt sich auf Zusammenfassungen aus zweiter Hand zu verlassen.

Ist Ihr VPN-Gateway betroffen? So prüfen Sie auf Anzeichen einer Kompromittierung

Beginnen Sie mit den Grundlagen: Bestätigen Sie, ob Sie überhaupt Ivanti Connect Secure betreiben, einschließlich älterer oder vergessener Appliances in Zweigstellen, Testumgebungen oder Cloud-Bereitstellungen. Nicht verwaltete Gateways sind oft diejenigen, die ungepatcht bleiben.

Vergleichen Sie dann Ihre installierte Version mit den in der Ivanti-Empfehlung aufgeführten Versionen. Wenn Sie sich in einem betroffenen Bereich befinden, gehen Sie davon aus, dass das Gerät gefährdet ist, bis es aktualisiert wird.

Da Berichten zufolge Angriffe im Gange sind, könnte das Patchen allein nicht ausreichen. Eine Umgehung, die ausgenutzt wurde, bevor ein Fix existierte, könnte Spuren hinterlassen haben. Sinnvolle Schritte sind:

  • Überprüfung von Authentifizierungs- und Admin-Protokollen auf unerwartete Anmeldungen, insbesondere von unbekannten IP-Adressen oder zu ungewöhnlichen Zeiten.
  • Suche nach neuen oder geänderten Konten, Konfigurationsänderungen oder unbekannten Dateien auf der Appliance.
  • Ausführen jedes vom Hersteller bereitgestellten Integritätsprüfungstools und Befolgen seiner Anleitung, was die Ergebnisse bedeuten.
  • Prüfen, ob die Verwaltungsschnittstelle aus dem öffentlichen Internet erreichbar ist, wenn dies nicht erforderlich ist.

Wenn Sie etwas Verdächtiges finden, behandeln Sie es als Vorfall: Isolieren Sie das Gerät, bewahren Sie die Protokolle auf und befolgen Sie die Anleitung des Herstellers und von CISA, bevor Sie es wieder online bringen.

Patch- und Mitigationsschritte gemäß CISA-Anleitung

Die klarste Anweisung ist, den Hersteller-Fix anzuwenden, sobald er für Ihre Version verfügbar ist. CISAs Drängen auf schnelles Handeln signalisiert, dass das Warten auf ein routinemäßiges Wartungsfenster hier eine riskante Wahl ist.

Eine praktische Abfolge sieht so aus:

  1. Wenden Sie das Update an. Installieren Sie den von Ivanti bereitgestellten Patch oder befolgen Sie jede vorläufige Mitigation, die der Hersteller veröffentlicht, falls noch kein Fix für Ihre Version verfügbar ist.
  2. Beschränken Sie die Exposition. Beschränken Sie den Verwaltungszugriff auf vertrauenswürdige Netzwerke und setzen Sie, wo möglich, zusätzliche Kontrollen vor das Gateway.
  3. Rotieren Sie Anmeldedaten, wenn eine Kompromittierung vermutet wird. Dazu gehören lokale Konten und alle Geheimnisse, die auf der Appliance gespeichert oder über sie erreichbar sind.
  4. Überwachen Sie danach. Behalten Sie erhöhte Protokollierung für einen Zeitraum nach dem Patchen bei, da eine frühere Kompromittierung möglicherweise nicht sofort sichtbar wird.
  5. Dokumentieren und melden. Halten Sie fest, was Sie gefunden und getan haben, und befolgen Sie alle Meldepflichten, die für Ihre Organisation gelten.

Für die genauen Patch-Versionen und Mitigationsschritte verlassen Sie sich direkt auf Ivanti und CISA, da diese Anweisungen aktualisiert werden können, während sich die Situation entwickelt.

Warum VPN-Appliances hochwertige Ziele sind

VPN-Gateways befinden sich am Rand eines Netzwerks und sind konstruktionsbedingt dem Internet ausgesetzt. Das macht sie für jeden erreichbar, und eine erfolgreiche Kompromittierung kann einen direkten Weg zu internen Systemen bieten. Angreifer mögen sie auch, weil diese Geräte oft mit weitreichenden Berechtigungen laufen und Anmeldedaten für viele Benutzer verwalten können.

Edge-Appliances können auch schwieriger zu überwachen sein als Laptops oder Server, da sie möglicherweise nicht dieselben Sicherheitsagenten unterstützen. Diese Lücke gibt Angreifern mehr Zeit, unbemerkt zu operieren. Das Muster ist Teil einer breiteren Verschiebung, bei der Angreifer die Infrastruktur ins Visier nehmen, die den Zugang schützt, ein Thema, das auch in unserer Betrachtung erscheint, wie KI sich vom Angreifer-Helfer zum autonomen Operator entwickelt in jüngsten Spionagekampagnen, wo Geschwindigkeit und Umfang den Angreifer begünstigen.

Was das für Sie bedeutet

Wenn Sie Ivanti Connect Secure administrieren, ist dies eine dringende Aufgabe: Identifizieren Sie Ihre Geräte, patchen Sie und prüfen Sie auf Anzeichen einer Kompromittierung. Gehen Sie nicht davon aus, dass ein ruhiges Protokoll ein sauberes Gerät bedeutet.

Wenn Sie ein Mitarbeiter oder Remote-Benutzer eines Unternehmens-VPN sind, können Sie das Gateway nicht selbst patchen, aber Sie können Ihr IT-Team fragen, ob es betroffen ist und ob der Fix angewendet wurde. Verwenden Sie starke, einzigartige Passwörter und Multi-Faktor-Authentifizierung für Ihre Konten und melden Sie alle unerwarteten Anmeldeaufforderungen oder Kontowarnungen. Beachten Sie, dass eine Authentifizierungsumgehung Anmeldungen umgehen kann, sodass diese Gewohnheiten das Risiko verringern, aber das Patchen nicht ersetzen.

Wenn Sie einen Verbraucher-VPN-Dienst nutzen, betrifft dieses spezifische Problem Ivantis Unternehmensprodukt, nicht Verbraucher-Apps. Es ist dennoch eine nützliche Erinnerung daran, dass jedes internetzugewandte Fernzugriffssystem regelmäßige Updates benötigt.

Wichtige Erkenntnisse

  • Behandeln Sie den Ivanti Connect Secure Zero-Day-Patch für CVE-2026-104935 als dringend, da Berichten zufolge bereits Angriffe stattfinden.
  • Bestätigen Sie, welche Ihrer Gateways Ivanti Connect Secure betreiben, und prüfen Sie ihre Versionen gegen Ivantis Empfehlung.
  • Überprüfen Sie Protokolle und Appliance-Integrität auf Anzeichen einer Kompromittierung, auch nach dem Patchen.
  • Befolgen Sie CISAs Anleitung und Ivantis offizielle Anweisungen, sobald sie aktualisiert werden.
  • Nutzen Sie diesen Moment, um zu überprüfen, wie Ihre Organisation Fernzugriffsinfrastruktur absichert, einschließlich der Exposition von Verwaltungsschnittstellen und der Überwachung von Edge-Geräten.

Erst patchen, dann untersuchen und weiter beobachten: Diese Reihenfolge gibt Ihnen die beste Chance, diesem Vorfall voraus zu bleiben.

FAQ: Q1: Was ist CVE-2026-104935? A1: CVE-2026-104935 ist eine Authentifizierungsumgehung in Ivanti Connect Secure, die es einem Angreifer ermöglicht, den Anmeldeschritt zu umgehen, der eigentlich Außenstehende von einem System fernhalten soll. Q2: Warum wird diese Schwachstelle als so gefährlich angesehen? A2: Sie ist ein Zero-Day, den Angreifer bereits ins Visier genommen haben, und ein Analyst beschrieb sie als „unglaublich einfach" auszunutzen, was bedeutet, dass sie keine Anmeldedaten und wenig Können erfordert, was zu ihrer schnellen Verbreitung beiträgt. Q3: Wie kann ich feststellen, ob meine Organisation betroffen ist? A3: Bestätigen Sie, ob Sie Ivanti Connect Secure betreiben, einschließlich vergessener Appliances in Zweigstellen, Testumgebungen oder Cloud-Bereitstellungen, und vergleichen Sie dann Ihre installierte Version mit den betroffenen Versionen in Ivantis Empfehlung. Q4: Reicht das Patchen allein aus, wenn das Gerät möglicherweise bereits ausgenutzt wurde? A4: Nein, denn eine ausgenutzte Umgehung könnte Spuren hinterlassen haben, daher sollten Sie Authentifizierungs- und Admin-Protokolle überprüfen, nach neuen Konten oder Konfigurationsänderungen suchen, Integritätsprüfungstools des Herstellers ausführen und prüfen, ob die Verwaltungsschnittstelle öffentlich erreichbar ist. Q5: Was sollte ich zuerst tun, um diese Schwachstelle zu beheben? A5: Wenden Sie den Hersteller-Fix an, sobald er für Ihre Version verfügbar ist, da CISA zu schnellem Handeln gedrängt hat, anstatt auf ein routinemäßiges Wartungsfenster zu warten. ---END---