Security-Appliance: Angreifer nutzen Sicherheitslücke in Ivanti Connect Secure

Eine Spoofing-Lücke in Ivanti Connect Secure erlaubt Angreifern aus der Ferne die Ausführung beliebiger Befehle auf dem Gerät. Das meldet der Hersteller in einem knapp gehaltenen Sicherheitshinweis. Ivanti gibt an, dass zur Ausnutzung keine vorherige Anmeldung notwendig ist und dass Angriffe auf verwundbare Geräte bereits laufen.

Die Sicherheitslücke mit der CVE-ID CVE-2026-104935 hat einen CVSS3-Wert von 8,6 Punkten, einen hohen Schweregrad und ist offenbar einfach aus der Ferne auszunutzen (Attack Vector: Network; Attack Complexity: Low). Die US-Cybersicherheitsbehörde CISA hat die Lücke in ihre Datenbank der „Known Exploited Vulnerabilities“ aufgenommen, Mitentdecker Volexity hat eine ausführliche Analyse veröffentlicht.

Verschiedene Versionen betroffen

Ivanti gibt an, dass die folgenden Versionen betroffen sind: 25.1.1.1, 25.1.2.2, 22.8R2.4 und ältere Versionen; Updates auf Version 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5 stehen zur Verfügung. Interessant: Die erste fehlerbereinigte Version 25.1.3.0 erschien bereits im Juli dieses Jahres, die restlichen Updates am 5. Oktober. Wie die zeitliche Diskrepanz für ältere Firmware-Versionen zustandegekommen ist, erklärt Ivanti nicht. Admins sollten zügig ihre Geräte aktualisieren; Angriffe auf verwundbare Connect-Secure-Instanzen laufen.

Sicherheitslücken in Ivanti-Produkten werden häufig für Angriffskampagnen von Cybercrime- und staatlichen Akteuren ausgenutzt. Zuletzt fanden sich in Ivanti Connect Secure (ICS) im September 2025 schwere Fehler, davor im April desselben Jahres. Die Malware „Resurge“ setzte an einer Lücke in ICS an, um Netze zu kompromittieren.