Ivanti hat Sicherheitsupdates für zwei weitere Schwachstellen in seinem Fernzugriffs-Gateway Connect Secure (ICS) veröffentlicht, und das Unternehmen gibt an, dass diese seit mindestens dem 1. Oktober in Zero-Day-Angriffen miteinander verkettet wurden. Wenn Ihre Organisation die Appliance betreibt, gehört dieser Ivanti Connect Secure Zero-Day-Patch zu den priorisierten Maßnahmen.

Die bisher verfügbaren Details sind begrenzt, daher beschränkt sich dieser Beitrag auf das, was berichtet wurde, und konzentriert sich auf praktische Schritte für Administratoren und Mitarbeiter, die auf das Gateway angewiesen sind.

Was Ivanti gepatcht hat und wann die Angriffe begannen

Laut dem Bericht hat Ivanti Updates veröffentlicht, die zwei weitere Schwachstellen in Connect Secure abdecken – dem Fernzugriffs-Gateway, das viele Organisationen nutzen, damit Mitarbeiter von außerhalb des Büros auf interne Systeme zugreifen können. Die Schwachstellen wurden als Zero-Days ausgenutzt, was bedeutet, dass Angreifer sie nutzten, bevor ein Fix existierte.

Das entscheidende zeitliche Detail ist, dass die Angriffe seit mindestens dem 1. Oktober stattfinden. Die Formulierung „mindestens" ist wichtig: Sie signalisiert, dass dies die bisher früheste bestätigte Aktivität ist, nicht zwangsläufig die erste. Organisationen, die in diesem Zeitraum ungepatchte Appliances betrieben haben, sollten die Möglichkeit in Betracht ziehen, dass sie exponiert waren, anstatt anzunehmen, dass der Fix allein die Angelegenheit abschließt.

Die Schwachstellen wurden zudem verkettet, was bedeutet, dass Angreifer sie kombinierten, anstatt sich auf einen einzelnen Fehler zu verlassen. Dieses Detail prägt, wie Verteidiger das Risiko bewerten sollten.

Warum verkettete Exploits auf VPN-Gateways so gefährlich sind

Ein Fernzugriffs-Gateway befindet sich am Rand eines Netzwerks. Es ist konstruktionsbedingt aus dem Internet erreichbar und wird als vertrauenswürdig eingestuft, um externe Benutzer mit internen Ressourcen zu verbinden. Diese Kombination macht es zu einem hochwertigen Ziel: Eine erfolgreiche Kompromittierung kann einen Fußabdruck an einem Ort bieten, der sowohl exponiert als auch gut vernetzt ist.

Verkettung macht dies ernster. Eine Schwachstelle kann einem Angreifer begrenzten Zugang verschaffen, während eine zweite diesen Zugang erweitern oder in etwas Mächtigeres verwandeln kann. Zusammen genutzt können zwei Fehler, die einzeln jeweils handhabbar wären, sich zu einem viel größeren Problem summieren. Verteidiger, die bei der Priorisierung jeden Fehler isoliert betrachten, können die reale Auswirkung unterschätzen.

Dies ist auch Teil eines breiteren Musters. Unsere frühere Berichterstattung über die Ivanti Connect Secure Authentifizierungs-Umgehung mit der Kennung CVE-2026-104935 beschrieb eine weitere Schwachstelle im selben Produkt, die bereits in Angriffen genutzt wurde. Eine zweite Runde von Zero-Days im selben Gateway unterstreicht, warum diese Appliances besondere Aufmerksamkeit verdienen.

So prüfen Sie, ob Ihr Arbeits-VPN-Gateway gepatcht ist

Wenn Sie Connect Secure administrieren, beginnen Sie mit den Grundlagen:

  • Bestätigen Sie Ihre Appliance-Version. Prüfen Sie die aktuell laufende Version und vergleichen Sie sie mit den festen Releases, die im Sicherheitshinweis von Ivanti für diese beiden Schwachstellen aufgeführt sind.
  • Überprüfen Sie Ihren Update-Verlauf. Vergewissern Sie sich, dass das Update tatsächlich angewendet und die Appliance in den gepatchten Build neu gestartet wurde, nicht nur heruntergeladen.
  • Schauen Sie bis zum 1. Oktober zurück. Da die Angriffe mindestens bis zu diesem Tag zurückreichen, überprüfen Sie Protokolle und alle Integritätsprüfungsergebnisse ab diesem Zeitpunkt.
  • Prüfen Sie auf zugehörige Fixes. Stellen Sie sicher, dass auch frühere Patches vorhanden sind, einschließlich desjenigen für das CVE-2026-104935-Problem.

Wenn Sie Mitarbeiter und nicht Administrator sind, können Sie die Appliance nicht selbst patchen, aber Sie können Ihr IT- oder Sicherheitsteam fragen, ob das Connect Secure Gateway das neueste Update erhalten hat. Eine kurze, direkte Frage ist angemessen und oft willkommen.

Was zu tun ist, wenn Ihre Connect Secure Appliance nicht aktualisiert ist

Wenden Sie die Patches an, sobald Ihr Änderungsprozess es zulässt. Da diese Schwachstellen in freier Wildbahn ausgenutzt werden, birgt das Warten auf ein routinemäßiges Wartungsfenster ein reales Risiko.

Während Sie sich auf das Update vorbereiten, erwägen Sie, den Zugriff auf die Verwaltungsschnittstellen der Appliance einzuschränken, und befolgen Sie etwaige vorläufige Mitigationshinweise von Ivanti. Führen Sie nach dem Patchen die Integritätsprüfungswerkzeuge des Herstellers aus, falls verfügbar, und suchen Sie nach ungewöhnlichen Sitzungen, unerwarteten Konfigurationsänderungen oder Konten, die Sie nicht erkennen. Wenn Sie Anzeichen einer Kompromittierung finden, behandeln Sie es als Vorfall: Isolieren Sie die Appliance, bewahren Sie Protokolle auf und beziehen Sie Ihr Incident-Response-Team ein, bevor Sie Anmeldeinformationen zurücksetzen, die möglicherweise über das Gateway gelaufen sind.

Was das für Sie bedeutet

Für Administratoren ist die Botschaft klar: Überprüfen Sie Ihre Version, patchen Sie und untersuchen Sie den Zeitraum seit dem 1. Oktober. Eine gepatchte Appliance ist nicht automatisch sauber, wenn sie vor dem Update exponiert war.

Für alltägliche Nutzer eines Unternehmens-VPN gibt es für dieses Problem keine Software, die auf Ihrem eigenen Gerät installiert werden muss, da die verwundbare Komponente das Gateway ist. Dennoch ist es ein guter Moment, starke, einzigartige Passwörter zu verwenden, Multi-Faktor-Authentifizierung zu aktivieren, wo sie angeboten wird, und alles Ungewöhnliche zu melden, wie unerwartete Anmeldeaufforderungen oder Anmeldebenachrichtigungen.

Wichtigste Erkenntnisse

  • Ivanti hat Updates für zwei weitere Connect Secure-Schwachstellen veröffentlicht, die seit mindestens dem 1. Oktober in Zero-Day-Angriffen verkettet wurden.
  • Fernzugriffs-Gateways sind attraktive Ziele, weil sie aus dem Internet erreichbar und vertrauenswürdig sind.
  • Verkettete Schwachstellen können schädlicher sein als jeder einzelne Fehler allein.
  • Bestätigen Sie Ihre Appliance-Version, wenden Sie den Ivanti Connect Secure Zero-Day-Patch jetzt an und überprüfen Sie Aktivitäten ab dem 1. Oktober.
  • Für Hintergrundinformationen zum anhaltenden Muster lesen Sie unseren früheren Bericht über die CVE-2026-104935 Authentifizierungs-Umgehung.

Wenn Sie Ivanti Connect Secure nutzen oder administrieren, prüfen Sie heute Ihre Version und wenden Sie die Updates unverzüglich an.