Über einen gefälschten Header können Angreifer die Anmeldung an Ivanti Connect Secure umgehen und ohne Zugangsdaten Befehle auf dem VPN-Gateway ausführen. Ivanti hat die Lücke am 13. Oktober 2026 mit Fixversionen veröffentlicht und bestätigt begrenzte Ausnutzung; CISA hat sie am selben Tag in den KEV-Katalog aufgenommen – mit forensischer Triage-Pflicht. Eine in derselben Kette genutzte Rechteausweitung ist noch nicht behoben.
Advisory als PDF herunterladenConnect Secure vertraut beim Weiterleiten von Anfragen einem vom Client gesetzten Header: Über die öffentlich erreichbare Anmeldeseite lassen sich so auch geschützte interne Programme aufrufen, ohne dass eine Anmeldung geprüft wird (Authentication Bypass by Spoofing, CWE-290). Laut Volexity führt das über eine Upload-Funktion bis zur Befehlsausführung ohne Zugangsdaten. In der beobachteten Kette kombinierten die Angreifer das mit einer weiteren Lücke, die Root-Rechte verschafft – für sie gibt es noch keinen Fix.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| ICS 25.1.2.x | ≤ 25.1.2.2 | 25.1.3.0 / 25.1.3.1 |
| ICS 25.1.1.x | ≤ 25.1.1.1 | 25.1.1.2 bzw. 25.1.3.x |
| ICS 22.8R2 | 22.8R2 – 22.8R2.4 | 22.8R2.5 |
| ICS 22.7R2 | nicht betroffen | ≤ 22.7R2.14 unkritisch |
Fixstände laut CVE-Record von Ivanti als CNA (25.1.3.0 · 25.1.3.1 · 22.8R2.5 nicht betroffen); 25.1.1.2 als Fix für den 25.1.1-Zweig laut NVD-Auswertung. Die in der Angriffskette zusätzlich genutzte Root-Rechteausweitung behebt Ivanti erst in einem späteren Release – Stand bitte im Hersteller-Advisory prüfen.
Regulatorischer Hinweis: Ein kompromittiertes VPN-Gateway ist in der Regel ein meldepflichtiger Sicherheitsvorfall – NIS-2 nach den für Sie geltenden Fristen, DSGVO bei personenbezogenen Daten unverzüglich (i. d. R. 72 h). Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Version prüfen, sofort patchen, Kompromittierung forensisch ausschließen.
25.1.3.0 / 25.1.3.1 bzw. 22.8R2.5 aktualisieren. Einen Workaround nennt der Hersteller nicht. Vorher Konfigurationssicherung ziehen.welcome.cgi mit X-DSCGI-PATH-Header, der nicht zur URL passt, sind ein starkes Signal – idealerweise im Proxy/WAF davor mitschneiden und alarmieren./dana-na/auth/url_default/welcome.cgiX-DSCGI-PATH auf…/dana/fb/smb/wu.cgi oder /home/runtime/tmp//data/.icscap/ (Sniffer dsstatmond)/tmp/ml.py · /tmp/rq5.py · /tmp/sp_run.py/tmp/spray_hits.json108.165.147[.]64Zur Einordnung: Die Indikatoren stammen aus der Analyse von Volexity (13.10.2026), nicht aus dem Hersteller-Advisory. Die IP-Adresse ist eine flüchtige Momentaufnahme; belastbarer sind Header-Missbrauch im Log und Artefakte im Dateisystem. Das Integrity Checker Tool fand in den untersuchten Fällen nichts.
Wichtig: Der Integrity Checker hat diese Angriffe nicht erkannt – die Angreifer patchen Code im Arbeitsspeicher und stellen Konfigurationen wieder her. Ein grünes Prüfergebnis ist hier keine Entwarnung; und die Root-Rechteausweitung der Kette ist noch offen.
Ivanti Security Advisory CVE-2026-104935 (13.10.2026) · CVE-Record CVE-2026-104935 (Ivanti als CNA) · NVD CVE-2026-104935 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 13.10.2026) · Volexity, Analyse der Angriffskette (13.10.2026). Angaben nach bestem Wissen zum Stand 26.10.2026 – gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anfragen an die ICS-Anmeldeseite mit untypischen X-DSCGI-PATH-Headern sowie ausgehende Verbindungen und Anmeldungen vom VPN-Gateway ins interne Netz. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.