CVE-2026-104935: Ivanti Connect Secure Zero-Day aktiv ausgenutzt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor der aktiven Ausnutzung einer als hoch eingestuften Schwachstelle in Ivanti Connect Secure. Die Lücke mit der Kennung CVE-2026-104935 erreicht einen CVSS-v3.1-Score von 8.6 und betrifft alle Releases der Appliance vor Version 25.1.3.0. Nach Angaben des Herstellers wurden bereits „in begrenztem Umfang" Angriffe beobachtet; die US-amerikanische Cybersicherheitsbehörde CISA nahm die Schwachstelle am 13. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Betroffen sind vor allem Organisationen, die eine ICS-Appliance als exponiertes VPN- oder Remote-Access-Gateway betreiben — also genau jene Systeme, über die der Fernzugriff auf das interne Netz üblicherweise läuft.

Ivanti Connect Secure CVE-2026-104935: Authentifizierungsumgehung mit Befehlsausführung

Technisch handelt es sich um eine Authentifizierungsumgehung durch Spoofing, klassifiziert als CWE-290. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L zeigt das Kernproblem: Die Lücke ist aus dem Netzwerk (AV:N) und ohne vorherige Anmeldung (PR:N) sowie ohne Nutzerinteraktion (UI:N) ausnutzbar. Ein entfernter, nicht authentifizierter Angreifer kann laut OpenCVE beliebige Befehle auf verwundbaren Appliances ausführen.

Bemerkenswert ist die Schutzziel-Bewertung. Beim Vertraulichkeitsziel steht „hoch" (C:H), während Integrität und Verfügbarkeit nur mit „niedrig" bewertet sind (I:L/A:L). Diese Gewichtung ist plausibel für eine Lücke, die primär den Zugang öffnet und Einblick in geschützte Bereiche verschafft — den vollständigen Verlust der Systemintegrität suggeriert sie dagegen nicht. Admins sollten sich davon nicht täuschen lassen: Eine unauthentifizierte Befehlsausführung ist in der Praxis selten das Endziel, sondern der Einstieg. Das unterstreicht auch die Aggregation bei ThreatAft, die den Score mit 8.6 (v3.1) und die Authentifizierungsumgehung per Spoofing bestätigt.

Betroffene Versionen und der Patch auf 25.1.3.0

Die Versionslage ist klar abgrenzbar. Verwundbar sind alle Releases vor 25.1.3.0. Als nicht betroffen listet die CVE-Datenbank die Version 22.7R2.14 und früher sowie die Stände 25.1.3.0, 25.1.3.1, 22.8R2.5 und 22.7R2.14. Die empfohlene Maßnahme lautet daher: Upgrade auf Version 25.1.3.0 oder höher.

Wer den Patch nicht sofort einspielen kann, sollte übergangsweise den externen Zugriff auf die Appliance einschränken und die Authentifizierungs-Logs engmaschig überwachen. Beide Wege halten den Fernzugriff aufrecht, verringern aber die Angriffsfläche — ein Tausch, der die eigentliche Verwundbarkeit nicht behebt. In der Praxis ist die Ausnahme-Regelung nur eine Überbrückung, kein Ersatz für den Patch.

CISA-KEV: knappe Frist und BSI-Einstufung

Die Aufnahme in den KEV-Katalog ist das Signal mit der größten Dringlichkeit. OpenCVE dokumentiert ein dateAdded vom 13. Oktober 2026 und ein dueDate vom 16. Oktober 2026 — eine Frist, die mit nur drei Tagen ungewöhnlich kurz ausfällt. Für US-Behörden bedeutet das eine faktische Sofort-Patchpflicht. Das BSI stuft die Lage mit Kritikalität 2 ein und warnt ausdrücklich vor aktiver Ausnutzung.

Ein Punkt, den man beim Lesen der Warnung mitnehmen sollte: Der BSI-Titel spricht von „mehrere[n] Zero-Day Schwachstellen", der zugehörige Fließtext dokumentiert hingegen nur die eine Kennung CVE-2026-104935. Diese Diskrepanz lässt sich mit den öffentlich verfügbaren Primärdaten nicht auflösen. Der BSI-Warnung zufolge gibt es jedenfalls keine offizielle Bestätigung für einen zweiten ausgenutzten Zero-Day unter dieser Meldung.

Unbestätigte Berichte über eine Drei-Flaw-Chain

Aufmerksamkeit verdient eine Angabe, die in den Primärquellen fehlt. Eine Sekundär-Aggregation auf Shattered.io berichtet unter Berufung auf die IR-Firma Volexity (via SecurityWeek und The Hacker News), dass CVE-2026-104935 nur zwei von drei Schritten einer Angriffskette abdecke. Ein separater Privilege-Escalation-Bug mit Root-Zugriff sei demnach noch ungepatcht — ohne eigene CVE-Nummer und ohne Fix. Auch die Behauptung, Angreifer setzten die Lücke für Credential-Diebstahl und Datenabfluss ein, geht auf diese Quelle zurück.

Diese Angaben sind nicht unabhängig bestätigt. Weder BSI noch OpenCVE stützen die Drei-Flaw-Chain, den Root-Bug oder das angebliche Angriffsziel. Solange keine Hersteller- oder Behördenbestätigung vorliegt, sollte man sie als unbestätigt einordnen — ernst nehmen, aber nicht als gesicherten Fakt behandeln. Belegt ist hingegen, dass es bislang keine Angreifer-Attribution gibt: Weder CISA noch die referenzierten Analysen nennen einen konkreten Threat Actor.

Was die Herstellerquelle offenlässt

Auch die direkte Verifikation beim Hersteller ist derzeit nicht möglich. Das Ivanti Security Advisory ließ sich beim Recherche-Abruf nicht laden (nur eine CSS-Fehlermeldung). Die offiziellen Ivanti-Angaben konnten daher nicht gegengeprüft werden — eine Einschränkung, die man bei der Bewertung mitdenken sollte. In der Vergangenheit war das Produkt, damals unter dem Namen Pulse Connect Secure, bereits Ziel großflächiger Ausnutzungskampagnen; dass VPN-Gateways ein bevorzugtes Ziel sind, ist keine neue Erkenntnis. Die genaue Verkettung der aktuellen Lücke bleibt davon aber unberührt und ist offen, bis belastbare Belege vorliegen.

Fazit: Jetzt patchen, nicht abwarten

Die Handlungsempfehlung ist eindeutig. Wer eine Ivanti-Connect-Secure-Appliance vor Version 25.1.3.0 betreibt, sollte auf 25.1.3.0 oder höher aktualisieren — bei einer aktiv ausgenutzten Lücke mit einer Drei-Tage-KEV-Frist zählt jede Stunde. Lässt sich der Patch kurzfristig nicht einspielen, sind der eingeschränkte externe Zugriff und die Kontrolle der Authentifizierungs-Logs der zweitbeste Weg, nicht der gleichwertige.

Gleichzeitig gilt es, einen kühlen Kopf zu bewahren. Die Drei-Flaw-Chain und der angeblich ungepatchte Root-Bug stammen bislang aus einer einzigen, nicht primärquellenbelegten Aggregation. Solange Ivanti oder das BSI diese Darstellung nicht bestätigen, bleibt es bei einer offenen Frage — und bei einer Warnung, die schon ohne sie Grund genug zum Handeln liefert.

Quellen