CVE-2026-104935: Ivanti Connect Secure aktiv angegriffen

Ein Authentication Bypass in Ivanti Connect Secure erlaubt entfernten, nicht authentifizierten Angreifern die Ausführung von Befehlen auf der Appliance. Die Lücke wird als CVE-2026-104935 geführt, ist als Authentication Bypass by Spoofing (CWE-290) klassifiziert und mit CVSS 8,6 bewertet. Betroffen sind Betreiber der Security-Appliance, die Ivanti Connect Secure als VPN- und Zugangskomponente einsetzen. Nach Herstellerangaben wurde die Schwachstelle bereits bei einer begrenzten Kundenzahl ausgenutzt. Seit Anfang Oktober stehen Updates bereit, und Netzwerkadmins sind angehalten, sie zügig einzuspielen — die aktuelle Meldung macht deutlich, dass die Angriffe bereits laufen.

Ivanti Connect Secure: Was CVE-2026-104935 angreifbar macht

Der Fehler sitzt in der Authentifizierungslogik. Nach CWE-290 genügt es einem Angreifer, eine Identität vorzutäuschen, um die Prüfung zu umgehen. Er muss sich also nicht anmelden, um Befehle auf dem System abzusetzen — genau daraus ergibt sich die Einstufung mit CVSS 8,6. Solche Lücken sind für Angreifer attraktiv, weil die Appliance typischerweise direkt aus dem Internet erreichbar ist und im Netz an einer Vertrauensgrenze steht. Wer die Authentifizierung umgeht, landet nicht am Rand der Infrastruktur, sondern mittendrin.

Welche Versionen konkret betroffen und welche freigegeben sind, nennt in der vorliegenden Quellenlage allein SecurityOnline.info. Diese Angaben — betroffene und gefixte Versionsstände, Patchpfade und ein End-of-Life-Datum — sind vor einer verbindlichen Patch-Anweisung an der Ivanti-eigenen Sicherheitsmeldung zu prüfen. Admins sollten sich beim Update an den vom Hersteller veröffentlichten Versionsständen orientieren, nicht an Drittangaben.

Aktive Angriffe: begrenzte Kundenzahl, unklarer Umfang

Die Meldung ist keine reine Präventivwarnung. Ivanti spricht von einer begrenzten Zahl betroffener Kunden — eine Formulierung, die den Umfang offenlässt und aus Herstellersicht nachvollziehbar zurückhaltend ausfällt. Wie viele deutsche Organisationen betroffen sind, wie die ersten Angriffe aussahen und welcher Zeitpunkt als Beginn gilt, lässt sich mit den vorliegenden Quellen nicht unabhängig bestätigen.

Wer die Appliance betreibt, sollte deshalb nicht auf weitere Details warten. Die relevante Entscheidung fällt an der Frage, ob der eigene Stand bereits gepatcht ist — nicht an der Frage, wie groß die Kampagne war.

Patch-Management: Was Admins jetzt tun sollten

Die Empfehlung ist eindeutig: Updates einspielen, nicht aufschieben. Ein konkreter Upgrade-Pfad mit belastbaren Versionsnummern lässt sich derzeit nicht gesichert angeben, weil die entsprechenden Angaben ausschließlich aus einer Einzelquelle stammen. Bis zur Verifikation über den Hersteller gilt: den eigenen Versionsstand ermitteln, gegen die Ivanti-Sicherheitsmeldung abgleichen und den Patch nach Herstelleranweisung ausrollen.

Wer kurzfristig nicht warten kann, sollte die Erreichbarkeit der Appliance überprüfen, Zugriffe protokollieren und Authentifizierungsereignisse auf Auffälligkeiten auswerten. Vorbereitung zahlt sich hier aus: Für frühere Ivanti-Kampagnen dokumentiert CERT.at zusätzlich Maßnahmen wie das Integrity Checker Tool und einen Factory-Reset als Kompromittierungsnachsorge. Diese Werkzeuge sind Referenz für die Vorgeschichte — kein Nachweis, dass sie sich eins zu eins auf CVE-2026-104935 übertragen lassen.

Ein Muster mit Vorgeschichte: Ivanti-Lücken seit 2024

Der Fall reiht sich in eine Serie. Bereits im Januar 2024 warnte CERT.at vor den Lücken CVE-2023-46805, CVE-2024-21887, CVE-2024-21888 und CVE-2024-21893 in Connect Secure und Policy Secure; die Warnung wurde bis Anfang März 2024 in mehreren Updates nachgeschärft. Die Analyse des Angriffsmusters durch Palo Alto Networks’ Unit 42 beschreibt die Kampagne in mehreren Wellen.

Ein gutes Jahr später, im Januar 2025, folgten mit CVE-2025-0282 und CVE-2025-0283 weitere kritische Lücken in derselben Produktfamilie, zu denen IT-Daily Versionsstände und eine Reset-Empfehlung dokumentiert. Und im Februar 2026 meldete das BSI aktive Angriffe auf Ivanti Endpoint Manager Mobile über die Zero-Days CVE-2026-1281 und CVE-2026-1340 (CVSS 9.8). Diese Warnung betrifft einen anderen Produktzweig und darf nicht als Beschreibung der aktuellen Lücke gelesen werden — sie zeigt aber dasselbe Muster: Zero-Day in einem Ivanti-Produkt, aktive Ausnutzung, teils deutsche Betroffene.

Wer Ivanti-Komponenten im Zugangsweg betreibt, sollte Patch-Zyklen für diese Produktfamilie grundsätzlich enger takten als für gewöhnliche interne Systeme. Die Historie liefert dafür reichlich Argumente.

Wie belastbar ist die Faktenlage?

CVE-Nummer, CVSS 8,6, die Klassifizierung CWE-290, der Ausnutzungsstatus sowie die Versions- und Patchangaben stammen derzeit allein aus SecurityOnline.info. Die Meldung vom 13. Oktober, die den Fall auslöste, ließ sich dieser CVE-Nummer bislang nicht belegt zuordnen. Zwei weitere Quellen im Umfeld sind hersteller- beziehungsweise vendor-nah: die Analyse von Palo Alto Networks’ Unit 42 und ein Shortnews-Beitrag von IT-Daily. Beide taugen zur Einordnung des Angriffsmusters, nicht als Bestätigung des aktuellen Patchstands.

Für Admins bleibt die Handlungsempfehlung trotzdem klar: Version prüfen, Update nach Herstellerangabe einspielen und die Appliance bis dahin im Blick behalten. Dass eine Lücke mit CVSS 8,6 an einer internetnahen Vertrauensgrenze liegt, begründet Dringlichkeit unabhängig davon, ob sich die Einzelangaben später bestätigen. Die offenen Punkte betreffen die Details, nicht die Richtung.

Quellen