Über einen Dienst, der Wartungsaufgaben als Root ausführt, können Angreifer auf Ivanti Connect Secure volle Root-Rechte erlangen. Die Lücke war das bisher ungepatchte Glied der im Oktober ausgenutzten Zero-Day-Kette um CVE-2026-104935; Ivanti hat am 29. Oktober 2026 Fixversionen veröffentlicht, CISA hat sie am 30. Oktober in den KEV-Katalog aufgenommen – mit Frist 2. November und forensischer Triage-Pflicht.
Advisory als PDF herunterladenDer privilegierte Hintergrunddienst dsinvoked führt Wartungsaufgaben auf Anforderung als Root aus und liest dafür aus dem gemeinsamen Konfigurationsspeicher DSCache, welches Programm er starten soll – ohne diesen Daten ausreichend zu misstrauen (CWE-829). Laut Volexity veränderten die Angreifer im Arbeitsspeicher eine Programmbibliothek, bogen einen Eintrag auf ein eigenes Skript um und erhielten so Root-Rechte. Danach stellten sie Eintrag und Bibliothek wieder her – das Prüfwerkzeug des Herstellers fand nichts.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| ICS 25.1.x | ≤ 25.1.1.2 | 25.1.1.3 |
| ICS 22.8R2 | 22.8R2 – 22.8R2.5 | 22.8R2.6 |
| ICS 25.1.2.x / 25.1.3.x | laut Volexity betroffen | neuestes Release, s. Advisory |
Fixstände 25.1.1.3 · 22.8R2.6 laut Ivanti-Advisory (Ergänzung vom 29.10.2026, wiedergegeben in der Fachpresse); die NVD-Auswertung deckt sich damit. Für die Zweige 25.1.2 und 25.1.3 nennt Volexity ebenfalls Handlungsbedarf – Stand bitte direkt im Hersteller-Advisory prüfen. Ein Workaround existiert nicht.
Regulatorischer Hinweis: Ein kompromittiertes VPN-Gateway ist in der Regel ein meldepflichtiger Sicherheitsvorfall – NIS-2 nach den für Sie geltenden Fristen, DSGVO bei personenbezogenen Daten unverzüglich (i. d. R. 72 h). Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Version prüfen, sofort patchen, Kompromittierung forensisch ausschließen.
25.1.1.3 bzw. 22.8R2.6 aktualisieren, vorher Konfiguration sichern. Einen Workaround gibt es nicht.ics-root-run-inband-*.pl und /data/.icscap/ suchen; Lücken in Debug- und Audit-Log werten wie ein Treffer./home/runtime/tmp/ics-root-run-inband-*.plics-root-result-inband-*/data/.icscap/h.py · cap*/data/.icscap/dsstatmond108.165.147[.]64debuglogaudit.logZur Einordnung: Die Indikatoren stammen aus der Analyse von Volexity (13.10.2026, ergänzt 29.10.2026), nicht aus dem Hersteller-Advisory. Die IP-Adresse ist eine flüchtige Momentaufnahme; belastbarer sind Artefakte im Dateisystem und Lücken in den Logs.
Wichtig: Der Integrity Checker hat diese Angriffe nicht erkannt – die Angreifer patchen Code im Arbeitsspeicher und setzen ihre Änderungen zurück. Ein grünes Prüfergebnis ist hier keine Entwarnung.
Ivanti Security Advisory CVE-2026-104935 (ergänzt 29.10.2026) · CVE-Record CVE-2026-111357 (MITRE als CNA) · NVD CVE-2026-111357 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 30.10.2026) · Volexity, Analyse der Angriffskette (13.10.2026, Update 29.10.2026). Angaben nach bestem Wissen zum Stand 02.11.2026 – gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anfragen an die ICS-Anmeldeseite mit untypischen X-DSCGI-PATH-Headern, unerwartete Skripte unter /home/runtime/tmp sowie ausgehende Verbindungen vom VPN-Gateway ins interne Netz. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.