Weil Ivanti Connect Secure vorhersagbare Dateinamen verwendet, können angemeldete Angreifer Dateien mit eigenem Inhalt an einem bekannten Ort ablegen. Für sich genommen ist das nur ein mittleres Risiko – doch CISA führt die Lücke seit dem 30. Oktober 2026 als aktiv ausgenutzt und als verkettbar mit der Zero-Day-Kette um CVE-2026-104935. Der Fix ist seit dem 29. Oktober verfügbar, die CISA-Frist endet am 13. November.
Advisory als PDF herunterladenIvanti Connect Secure verwendet beim Hochladen vorhersagbare Dateinamen (CWE-340). Ein angemeldeter Angreifer kann so Dateien mit eigenem Inhalt an einem bekannten Ort auf dem Datenträger ablegen. Das passt zu dem von Volexity beschriebenen Muster: Der Upload-Handler wu.cgi speichert unter dem MD5-Hash des Dateinamens. Volexity nennt diese CVE-Nummer jedoch nicht – die Zuordnung ist unsere Einordnung.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| ICS 25.1.x | ≤ 25.1.1.2 | 25.1.1.3 |
| ICS 22.8R2 | 22.8R2 – 22.8R2.5 | 22.8R2.6 |
| ICS 25.1.2.x | im Record nicht einzeln genannt | s. Hersteller-Advisory |
Fixstände 25.1.1.3 · 22.8R2.6 laut CVE-Record von Ivanti als CNA (03.11.2026); die NVD-Auswertung deckt sich damit. Den Zweig 25.1.2 nennt der Record nicht, Volexity führt ihn für die Kette als betroffen – Stand bitte direkt im Hersteller-Advisory prüfen.
Regulatorischer Hinweis: Ein kompromittiertes VPN-Gateway ist in der Regel ein meldepflichtiger Sicherheitsvorfall – NIS-2 nach den für Sie geltenden Fristen, DSGVO bei personenbezogenen Daten unverzüglich (i. d. R. 72 h). Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Forensik und Dokumentation.
In dieser Reihenfolge – Version prüfen, patchen, Kompromittierung ausschließen.
25.1.1.3 bzw. 22.8R2.6 aktualisieren, vorher Konfiguration sichern. Den Wert 4,3 nicht als Grund zum Aufschub nehmen.X-DSCGI-PATH-Header prüfen, die auf /home/runtime/tmp/ zeigen. Lücken in den Logs werten wie ein Treffer.…/url_default/welcome.cgiX-DSCGI-PATH auf…/dana/fb/smb/wu.cgi/home/runtime/tmp/<MD5(filename)>/data/.icscap/dsstatmond/tmp/spray_hits.json108.165.147[.]64Zur Einordnung: Die Indikatoren stammen aus der Volexity-Analyse der Gesamtkette (13.10.2026), nicht aus dem Hersteller-Advisory, und sind dieser CVE nicht ausdrücklich zugeordnet. Die IP-Adresse ist eine flüchtige Momentaufnahme; belastbarer sind Header-Missbrauch im Log und Artefakte im Dateisystem.
Wichtig: Der niedrige CVSS-Wert beschreibt die Lücke isoliert, nicht das Risiko der Kette. Und ein grünes Ergebnis des Integrity Checkers ist hier keine Entwarnung – laut Volexity erkennt er diese Kompromittierung nicht.
CVE-Record CVE-2026-118527 (Ivanti als CNA) · NVD · CISA KEV (aufgenommen 30.10.2026, Frist 13.11.2026) · Ivanti Security Advisory CVE-2026-104935 · Volexity (13.10.2026, Update 29.10.2026). Stand 05.11.2026 – gegen das Hersteller-Advisory abgleichen.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anfragen an die ICS-Anmeldeseite mit untypischen X-DSCGI-PATH-Headern sowie ausgehende Verbindungen vom VPN-Gateway ins interne Netz. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.