Unauthentifizierte Remote-Code-Ausführung in Ivanti Connect Secure

In dieser Reihenfolge – Integrität prüfen, patchen, erst dann Entwarnung.

• Sofort: ICT-Scan + Betroffenheit
• Kurzfristig: Patch einspielen (Factory Reset)
• Parallel: Threat Hunting / Kompromittierung ausschließen

1. Betroffenheit feststellen
   Prüfen, ob Connect Secure, Policy Secure oder ein Neurons-for-ZTA-Gateway in einer betroffenen 22.7-Version im Einsatz ist und ob es aus dem Internet erreichbar ist. Priorität hat jede internetseitig exponierte Connect-Secure-Appliance – nur dort wurde bislang aktive Ausnutzung beobachtet.
2. Integrität prüfen (vor allem anderen)
   Den Ivanti Integrity Checker Tool (ICT) ausführen – bevorzugt den externen Scan. Ein auffälliges ICT-Ergebnis deutet auf eine Kompromittierung hin und ändert das weitere Vorgehen: Dann ist ein Vorfall zu behandeln, nicht nur zu patchen.
3. Patchen
   Connect Secure auf 22.7R2.5 aktualisieren. Policy Secure (22.7R1.2) und ZTA Gateways (22.7R2.5) auf die ab 21.01.2025 bereitgestellten Fixstände heben. Ivanti empfiehlt bei sauberem ICT ein Werks-Reset (Factory Reset) vor der Wiederinbetriebnahme, um Persistenz auszuschließen.
4. Kompromittierung ausschließen
   Bei auffälligem ICT-Ergebnis oder Anzeichen einer Ausnutzung: Appliance vom Netz nehmen, forensisch sichern, betroffene und über das VPN erreichbare Systeme untersuchen und alle über das Gateway nutzbaren Zugangsdaten und Zertifikate/Secrets rotieren. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
5. Perimeter härten
   Zugriff auf das Management-Interface einschränken, Exposition des Portals minimieren und die Auswertung von Appliance- und VPN-Logs dauerhaft aufsetzen. Nicht mehr unterstützte Ivanti-Versionen (22.2 und älter) mit Migrationsplan ablösen.

• Primäres Prüfmittel: Ivanti Integrity Checker Tool (ICT)
  externer Scan bevorzugt
• Malware (Mandiant): SPAWN-Ökosystem: SPAWNANT · SPAWNMOLE · SPAWNSNAIL
  zusätzlich PHASEJAM, DRYHOOK
• Verhaltens-Marker: fehlgeschlagene/auffällige ICT-Läufe
  unerwartete Neustarts, Web-Shells, Log-Manipulation

Zur Einordnung: Ein sauberes ICT-Ergebnis ist kein vollständiger Freibrief – der Scan erfasst eine Momentaufnahme und kann von einem versierten Angreifer umgangen werden. Die genannten Malware-Familien stammen aus der Analyse von Mandiant (Google Threat Intelligence) und sind eine Momentaufnahme der beobachteten Kampagne. Maßgeblich bleibt die Analyse Ihrer eigenen Appliance- und Netzwerk-Logs.

Wichtig: Aktiv ausgenutzt wurde die Lücke bereits vor Veröffentlichung des Patches (Zero-Day). Ein alleiniges Einspielen des Updates entfernt eine bereits eingerichtete Persistenz nicht – ohne Integritätsprüfung und ggf. Werks-Reset bleibt ein erfolgter Zugriff unsichtbar.

• Sofort ICT-Scan aller exponierten Ivanti-Gateways anordnen und internetseitige Connect-Secure-Appliances priorisiert patchen.
• Bei Auffälligkeiten Kompromittierung untersuchen lassen – dokumentiert für eine etwaige Meldung nach DSGVO / NIS-2.
• Über eine dauerhafte Überwachung des Perimeters und die Ablösung nicht mehr unterstützter Versionen entscheiden.

NVD (nvd.nist.gov/vuln/detail/CVE-2025-0282) · Ivanti Security Advisory (Connect Secure / Policy Secure / ZTA Gateways, CVE-2025-0282 / CVE-2025-0283) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 08.01.2025, Ransomware-Nutzung „bekannt") · Mandiant / Google Threat Intelligence (Zero-Day-Ausnutzung ab Dez. 2024, SPAWN-Malware). Angaben nach bestem Wissen zum Stand 14.07.2026; das Hersteller-Advisory war zum Redaktionszeitpunkt nicht direkt abrufbar – Fixversionen, Build-Ranges und Verfügbarkeitstermine vor dem Patchen gegen das Ivanti-Advisory des jeweiligen Produkts verifizieren. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.