Eine wöchentliche Sicherheitsrundschau für den Zeitraum vom 7. bis 14. Oktober 2026 von Sherlock Forensics, angeführt von einer Ivanti-VPN-Exploit-Kette, die Logs löscht: eine gemeldete Angriffssequenz, die nach ihrer Ausführung ihre eigenen Spuren verwischt. Dieselbe Rundschau meldete einen Rekord-Patch-Tuesday mit 1.413 CVEs, gekaperte Backup-Server bei Managed Service Providers (MSPs) und das Ende von Pwn2Own Ireland mit 98 Zero-Days. Die Quellzusammenfassung ist kurz, daher bleibt dieser Beitrag bei dem, was sie aussagt, und erklärt, was das in der Praxis bedeutet.

Was die Ivanti-Exploit-Kette tut

Laut der Rundschau löscht die Ivanti-VPN-Kette ihre eigenen Logs. Dieses Detail ist wichtiger, als es zunächst scheinen mag. Logs sind die wichtigste Aufzeichnung, die Verteidiger nutzen, um herauszufinden, ob auf ein Gerät zugegriffen wurde, was ein Angreifer getan hat und wann es geschah. Ein Exploit, der seine eigenen Einträge entfernt, hinterlässt bei Administratoren ein sauber aussehendes System und keine offensichtliche Spur.

Die praktische Folge ist, dass die übliche Frage „Zeigen die Logs etwas Verdächtiges?“ unzuverlässig wird. Ein leeres oder aufgeräumtes Log ist kein Beweis mehr für ein gesundes Gerät. Die Zusammenfassung enthält keine technischen Details wie betroffene Versionen oder Kennungen, daher sollten sich Administratoren für den genauen Umfang auf die eigenen Sicherheitshinweise von Ivanti verlassen.

Sind Nutzer von Consumer-VPNs exponiert?

Für die meisten Privatpersonen lautet die Antwort nein, zumindest nicht direkt. Die gemeldete Kette zielt auf die Enterprise-VPN-Gateways von Ivanti ab, also auf die Appliances, die Organisationen nutzen, damit Mitarbeiter sich mit Firmennetzwerken verbinden können. Sie wird nicht als Angriff auf Consumer-VPN-Apps beschrieben, die Menschen auf einem Telefon oder Laptop installieren, um ihr Surfen zu schützen.

Dennoch gibt es indirekte Wege, über die sie normale Menschen betreffen kann:

  • Wenn Sie sich über ein Ivanti-Gateway mit dem Netzwerk eines Arbeitgebers verbinden, zählt die Exposition Ihrer Organisation. Ihr persönliches Gerät ist nicht der Schwachpunkt, aber Daten, die das Gateway passieren, könnten es sein.
  • Wenn Sie Kunde eines Unternehmens sind, das ein solches Gateway nutzt, kann ein kompromittiertes Gateway zu einem Weg in Systeme werden, die Kundendaten enthalten.
  • Wenn Sie ein kleines Unternehmen führen oder in der IT arbeiten, sind Sie möglicherweise die Person, die für das Patchen der Appliance verantwortlich ist.

Kurz gesagt: Privatanwender von Consumer-VPN-Diensten sind nicht das beschriebene Ziel, aber die Geschichte ist eine gute Erinnerung daran, dass ein VPN Software und Hardware mit eigenen Schwachstellen ist, kein magischer Schutzschild.

So prüft man Patches und Kompromittierungsindikatoren

Da die Kette Berichten zufolge Logs löscht, muss die Überprüfung über das Lesen derselben hinausgehen. Administratoren können diese Schritte unternehmen:

  1. Bestätigen Sie den Patch-Stand. Vergleichen Sie die aktuelle Version Ihrer Appliance mit dem neuesten Sicherheitshinweis des Herstellers und wenden Sie alle verfügbaren Updates an.
  2. Nutzen Sie die Integritätswerkzeuge des Herstellers, aber behandeln Sie sie nicht als endgültig. Sie sind nützlich, aber ein sauberes Ergebnis sollte nicht Ihr einziger Beweis sein.
  3. Verlassen Sie sich auf unabhängige Protokollierung. Leiten Sie Logs in Echtzeit an ein externes System weiter (einen separaten Log-Server oder ein SIEM), damit ein Angreifer, der lokale Einträge löscht, die Kopie nicht löschen kann.
  4. Suchen Sie nach Lücken, nicht nur nach Ereignissen. Unerklärliche Lücken in Log-Zeitlinien, plötzliche Log-Rotationen oder fehlende Zeiträume können selbst ein Warnsignal sein.
  5. Prüfen Sie netzwerkseitige Aufzeichnungen. Firewall-, DNS- und Authentifizierungs-Logs anderer Systeme können ungewöhnliche Verbindungen zum oder vom Gateway zeigen, selbst wenn die eigenen Aufzeichnungen des Gateways verschwunden sind.
  6. Rotieren Sie Anmeldedaten im Zweifelsfall. Wenn Sie eine Kompromittierung nicht ausschließen können, ist das Zurücksetzen von Konten und Geheimnissen, die mit der Appliance verbunden sind, ein umsichtiger Schritt.

Wenn Sie einen Sicherheitsvorfall vermuten, ziehen Sie die Hinzuziehung eines Incident-Response-Spezialisten in Betracht, da ein selbstbereinigender Angriff allein schwer zu bewerten ist.

Warum der rekordverdächtige Patch Tuesday und MSP-Backup-Kaperungen die Einsätze erhöhen

Der Ivanti-Punkt kam nicht allein. Die Rundschau vermerkte zudem einen rekordverdächtigen Patch Tuesday mit 1.413 CVEs, was bedeutet, dass IT-Teams eine sehr große Menge an Fixes priorisieren müssen, während sie gleichzeitig Edge-Geräte wie VPN-Gateways patchen müssen. Wenn alles dringend ist, wird die Priorisierung zur eigentlichen Herausforderung, und internetzugewandte Appliances sollten nahe am Anfang der Liste stehen.

Die Rundschau berichtete außerdem, dass Backup-Server von MSPs gekapert wurden. Backups sollen das Sicherheitsnetz sein, und MSPs haben Zugriff auf viele Kundenumgebungen gleichzeitig, sodass eine Kompromittierung dieser Ebene den Schaden vervielfachen kann. In Kombination mit Log-löschenden Angriffen unterstreicht dies, warum Organisationen Offline- oder unveränderliche Backups und unabhängige Überwachung aufrechterhalten sollten.

Für weiteren Kontext dazu, wie Angreifer Schwachstellen miteinander verketten, lesen Sie unsere Berichterstattung über eine KI-gestützte Zero-Day-Kette und 543.000 exponierte Live-Secrets. Für eine weitere aktuelle wöchentliche Einschätzung der Bedrohungslage lesen Sie die Sicherheitsrundschau vom 11. Oktober.

Was das für Sie bedeutet

Wenn Sie eine Consumer-VPN-App nutzen, ist diese Geschichte kein Grund zur Panik oder dazu, sie nicht mehr zu verwenden. Halten Sie die App aktuell, wie jede andere Software auch. Wenn Sie für eine Organisation arbeiten, die Ivanti nutzt, fragen Sie Ihr IT- oder Sicherheitsteam, ob das Gateway gepatcht ist und ob Logs an einem Ort gespeichert werden, den ein Angreifer nicht erreichen kann. Wenn Sie ein solches Gerät selbst administrieren, behandeln Sie die Ivanti-VPN-Exploit-Kette, die Logs löscht, als Anlass zur Überprüfung, nicht zum Annahmen.

Wichtigste Erkenntnisse

  • Bestätigen Sie, dass Ihre VPN-Appliance oder Ihr Client gemäß den neuesten Herstellerhinweisen vollständig gepatcht ist.
  • Vertrauen Sie nicht allein auf lokale Logs; senden Sie sie an ein unabhängiges System und prüfen Sie andere Netzwerkaufzeichnungen.
  • Priorisieren Sie internetzugewandte Gateways während intensiver Patch-Zyklen.
  • Halten Sie Backups isoliert, damit ein gekaperter Backup-Server Ihren Wiederherstellungsplan nicht zunichtemachen kann.

Die Ivanti-VPN-Exploit-Kette, die Logs löscht, ist eine Erinnerung daran, dass die Abwesenheit von Beweisen kein Beweis für Sicherheit ist. Prüfen Sie noch heute Ihren Patch-Status und überprüfen Sie Ihre Logs über unabhängige Mittel statt über das Gerät selbst.