Ivanti heeft beveiligingsupdates uitgebracht voor nog twee kwetsbaarheden in zijn Connect Secure (ICS) remote access gateway, en het bedrijf zegt dat ze sinds ten minste 1 oktober aan elkaar gekoppeld zijn in zero-day-aanvallen. Als jouw organisatie het appliance draait, is deze Ivanti Connect Secure zero-day patch er een om prioriteit te geven.

De beschikbare details zijn tot nu toe beperkt, dus dit bericht houdt zich aan wat er is gerapporteerd en richt zich op praktische stappen voor beheerders en medewerkers die op de gateway vertrouwen.

Wat Ivanti heeft gepatcht en wanneer de aanvallen begonnen

Volgens het rapport heeft Ivanti updates uitgegeven die twee extra kwetsbaarheden in Connect Secure dekken, de remote access gateway die veel organisaties gebruiken om medewerkers vanuit huis toegang te geven tot interne systemen. De kwetsbaarheden werden als zero-days misbruikt, wat betekent dat aanvallers ze gebruikten voordat er een fix bestond.

Het belangrijkste detail in de tijdlijn is dat de aanvallen sinds ten minste 1 oktober plaatsvinden. De woorden "ten minste" zijn belangrijk: het geeft aan dat dit de vroegst bevestigde activiteit is, niet noodzakelijk de eerste. Organisaties die in die periode ongepatchte appliances draaiden, moeten rekening houden met de mogelijkheid dat ze zijn blootgesteld, in plaats van aan te nemen dat de fix alleen de kous afmaakt.

De kwetsbaarheden werden ook aan elkaar gekoppeld, wat betekent dat aanvallers ze combineerden in plaats van op één enkele bug te vertrouwen. Dat detail bepaalt hoe verdedigers over het risico moeten nadenken.

Waarom gekoppelde exploits op VPN-gateways zo gevaarlijk zijn

Een remote access gateway staat aan de rand van een netwerk. Het is ontworpen om vanaf het internet bereikbaar te zijn, en het wordt vertrouwd om externe gebruikers met interne bronnen te verbinden. Die combinatie maakt het een doelwit met hoge waarde: een succesvolle compromittering kan een voet aan de grond geven op een plek die zowel blootgesteld als goed verbonden is.

Koppeling maakt dit serieuzer. Eén kwetsbaarheid kan een aanvaller beperkte toegang geven, terwijl een tweede die toegang kan uitbreiden of er iets krachtigers van kan maken. Samen gebruikt kunnen twee kwetsbaarheden die elk afzonderlijk beheersbaar zouden zijn, optellen tot een veel groter probleem. Verdedigers die triage doen door elke bug afzonderlijk te bekijken, kunnen de impact in de praktijk onderschatten.

Dit maakt ook deel uit van een breder patroon. Onze eerdere berichtgeving over de Ivanti Connect Secure authenticatie-bypass met kenmerk CVE-2026-104935 beschreef een andere kwetsbaarheid in hetzelfde product die al bij aanvallen werd gebruikt. Een tweede ronde zero-days in dezelfde gateway onderstreept waarom deze appliances nauwlettende aandacht verdienen.

Hoe je controleert of je werk-VPN-gateway is gepatcht

Als je Connect Secure beheert, begin dan met de basis:

  • Bevestig je appliance-versie. Controleer de versie die momenteel draait en vergelijk deze met de opgeloste releases in Ivanti's beveiligingsadvies voor deze twee kwetsbaarheden.
  • Bekijk je updategeschiedenis. Controleer of de update daadwerkelijk is toegepast en of het appliance opnieuw is opgestart in de gepatchte build, en niet alleen is gedownload.
  • Kijk terug tot 1 oktober. Omdat de aanvallen ten minste tot die dag teruggaan, bekijk logboeken en eventuele integriteitscontroleresultaten vanaf die periode.
  • Controleer op gerelateerde fixes. Zorg ervoor dat eerdere patches, waaronder die voor het CVE-2026-104935-probleem, ook aanwezig zijn.

Als je een medewerker bent en geen beheerder, kun je het appliance niet zelf patchen, maar je kunt je IT- of beveiligingsteam vragen of de Connect Secure-gateway de nieuwste update heeft ontvangen. Een korte, directe vraag is redelijk en vaak welkom.

Wat te doen als je Connect Secure-appliance niet is bijgewerkt

Pas de patches toe zodra je wijzigingsproces dit toestaat. Omdat deze kwetsbaarheden in het wild worden misbruikt, brengt wachten op een routineonderhoudsvenster reëel risico met zich mee.

Terwijl je je voorbereidt op de update, overweeg te beperken wie de beheerinterfaces van het appliance kan bereiken en volg eventuele tussentijdse mitigatierichtlijnen van Ivanti. Voer na het patchen de integriteitscontroletools van de leverancier uit indien beschikbaar, en zoek naar ongebruikelijke sessies, onverwachte configuratiewijzigingen of accounts die je niet herkent. Als je tekenen van compromittering vindt, behandel het dan als een incident: isoleer het appliance, bewaar logboeken en betrek je incident response-team voordat je inloggegevens reset die via de gateway kunnen zijn gegaan.

Wat dit voor jou betekent

Voor beheerders is de boodschap duidelijk: controleer je versie, patch en onderzoek de periode sinds 1 oktober. Een gefixt appliance is niet automatisch schoon als het vóór de update is blootgesteld.

Voor dagelijkse gebruikers van een bedrijfs-VPN is er voor dit probleem geen software om op je eigen apparaat te installeren, omdat het kwetsbare onderdeel de gateway is. Toch is het een goed moment om sterke, unieke wachtwoorden te gebruiken, multi-factor authenticatie in te schakelen waar dit wordt aangeboden en alles wat vreemd is te melden, zoals onverwachte inlogprompts of aanmeldingswaarschuwingen.

Belangrijkste punten

  • Ivanti heeft updates uitgebracht voor nog twee Connect Secure-kwetsbaarheden die sinds ten minste 1 oktober aan elkaar gekoppeld zijn in zero-day-aanvallen.
  • Remote access gateways zijn aantrekkelijke doelwitten omdat ze vanaf het internet bereikbaar en vertrouwd zijn.
  • Gekoppelde kwetsbaarheden kunnen schadelijker zijn dan elk van de bugs afzonderlijk.
  • Bevestig je appliance-versie, pas de Ivanti Connect Secure zero-day patch nu toe en bekijk activiteit vanaf 1 oktober.
  • Lees voor achtergrond over het aanhoudende patroon ons eerdere rapport over de CVE-2026-104935 authenticatie-bypass.

Als je Ivanti Connect Secure gebruikt of beheert, controleer vandaag je versie en pas de updates zonder uitstel toe.