CISA warnt Administratoren, Ivanti-Fehler sofort zu beheben

Ivanti veröffentlichte am Dienstag die ICS-Versionen 22.8R2.5, 25.1.3.0, 25.1.3.1 und 25.1.1.2, um den Fehler zu beheben, und warnte Kunden, "sofort zu handeln", da die Ausbeutung in der Wildnis begrenzt sei.

Die Sicherheitsfirma Volexity berichtete, dass ein unbekannter Bedrohungsakteur, der als UTA0576 verfolgt wird, diesen Fehler mit zwei weiteren Schwachstellen seit mindestens 3. Oktober kombiniert hat.

"Diese Exploit-Kette kombiniert einen Authentifizierungs-umgehungs-Fehler, einen Remote-Code-Ausführungs-Fehler (RCE) und eine Privilegien-Erhöhungs-Schwachstelle, um unauthentifizierte Root-Code-Ausführung zu erreichen. Die RCE- und Authentifizierungs-umgehungs-Schwachstellen werden unter CVE-2026-104935 verfolgt," sagte Volexity.

"Volexity identifizierte eine Reihe von Post-Exploitation-Aktionen, die darauf abzielen, Active Directory-Anmeldeinformationen und Geheimnisse zu stehlen, einschließlich LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel."

Das Bedrohungsintelligenzunternehmen Defused bestätigte Volexitys Bericht und gab an, dass es bereits am 1. Oktober Beweise dafür fand, dass Angreifer CVE-2026-104935 im Wild ausnutzen.

Das Internet-Bedrohungs-Wachdienstunternehmen Shadowserver verfolgt mittlerweile über 5.600 Internet-ausgesetzte Systeme mit ICS-Fingerabdrücken, jedoch gibt es keine Angaben dazu, wie viele gegen laufende Angriffe gesichert sind oder wie viele als Honeypots dienen.

Administratoren werden aufgefordert, anfällige Ivanti-Systeme zu patchen

Am Dienstag fügte CISA CVE-2026-104935 seiner Liste von aktiv ausgenutzten Sicherheitsfehlern hinzu und ordnete Bundesbehörden an, ihre Netzwerke bis Freitag zu sichern, gemäß der Juni Binding Operational Directive 26-04.

Obwohl die BOD 26-04 nur für Federal Civilian Executive Branch (FCEB) Behörden gilt, forderte die Cybersecurity-Behörde ebenfalls eine separate Warnung, die alle Sicherheits-Teams und Netzwerkverteidiger auffordert, den Fehler sofort zu beheben und nach Kompromittierungsindikatoren zu suchen.

"CISA ist sich bewusst, dass Bedrohungsakteure diesen Zero-Day-Authentifizierungs-umgehungs-Fehler ausnutzen, der unauthentifizierte Remote-Ausführung beliebiger Befehle ermöglicht, um Anmeldeinformationen zu stehlen und Daten zu exfiltrieren. [..] CISA rät Organisationen mit betroffenen Ivanti Connect Secure-Geräten, sofort auf die neueste Version zu aktualisieren," warnte es.

"Organisationen, die feststellen möchten, ob sie kompromittiert wurden, müssen Netzwerk- und Speicher-Forensik durchführen, um Anzeichen der Ausnutzung zu identifizieren. [..] Ivantis Integrity Checker Tool kann möglicherweise keine Anzeichen der Ausnutzung von CVE-2026-104935 erkennen, da die Befehle des Bedrohungsakteurs im Speicher ausgeführt werden."

CISA riet Verteidigern, folgende Maßnahmen zu ergreifen, wenn sie kompromittierte Ivanti ICS-Geräte entdecken:

Ivanti behebt weitere Zero-Day-Fehler in Connect Secure, die in den letzten Jahren ausgenutzt wurden, darunter ein Authentifizierungs-umgehungs-Fehler (CVE-2023-46805) und ein Command-Injection-Fehler (CVE-2024-21887) im Januar 2024 sowie ein Server-Side-Request-Forgery (CVE-2024-21893) zwei Wochen später.

Kürzlich patchte Ivanti einen Remote-Code-Ausführungs-Fehler (CVE-2025-0282) im Januar 2025 und eine weitere RCE-Schwachstelle (CVE-2025-22457), die von chinesischen Spionagegruppen seit Mitte März 2025 ausgenutzt wird.

Seit November 2021 hat CISA 36 Ivanti-Schwachstellen seiner Liste von aktiv ausgenutzten Sicherheitsproblemen hinzugefügt, davon 12, die auch in Ransomware-Angriffen verwendet wurden.

Sobald Angreifer gültige Anmeldeinformationen besitzen, werden nur 37% ihrer Aktionen blockiert

Gesamte Präventionswerte können verbergen, was nach dem initialen Zugriff passiert. Nach Erhalt gültiger Anmeldeinformationen sinkt die Prävention stark.

Der Blue Report 2026 misst die Verteidigungstechnik-technik über 338 Millionen Simulationen in Kundenerzeugungs-Umgebungen.