Für Ivanti Connect Secure besteht erneut dringender Handlungsbedarf. Die US-Cybersicherheitsbehörde CISA hat am 30. Oktober 2026 zwei weitere Sicherheitslücken in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen: CVE-2026-111357 und CVE-2026-118527. Zusammen mit einer bereits Anfang Oktober bekannt gewordenen Schwachstelle können Angreifer unter bestimmten Voraussetzungen die vollständige Kontrolle über ein VPN-System erlangen.
Besonders unangenehm ist, dass einige Installationen trotz eines bereits eingespielten Oktober-Updates weiterhin angreifbar geblieben sind. Ivanti hat deshalb am 29. Oktober weitere Korrekturen bereitgestellt. Für Unternehmen geht es dabei nicht nur um die Sicherheit des VPN-Zugangs. Bei dokumentierten Angriffen wurden auch vertrauliche Informationen aus Windows-Domänen ins Visier genommen.
CISA bestätigt aktive Angriffe auf zwei Ivanti-Sicherheitslücken
Die neue Warnung vom 30. Oktober betrifft die Sicherheitslücken CVE-2026-111357 und CVE-2026-118527 in Ivanti Connect Secure. Beide wurden in den Known Exploited Vulnerabilities Catalog aufgenommen. Das ist ein wichtiger Unterschied zu einer gewöhnlichen Sicherheitsmeldung, denn für diese Schwachstellen liegen Hinweise auf tatsächliche Ausnutzung vor.
Die Angriffskette umfasst außerdem CVE-2026-104935. Diese Schwachstelle war bereits am 13. Oktober 2026 in den KEV-Katalog aufgenommen worden. Die Angriffe selbst begannen nach den Untersuchungen von Sicherheitsforschern bereits Anfang Oktober.
| Schwachstelle | Technisches Problem | Risikobewertung |
|---|---|---|
| CVE-2026-104935 | Umgehung der Authentifizierung und Möglichkeit zur Codeausführung | Aktive Ausnutzung bestätigt |
| CVE-2026-111357 | Ausweitung von Berechtigungen bis zum Root-Zugriff | CVSS 3.1: 7,0 nach CVE-Datensatz, Herstellerbewertung 8,8 |
| CVE-2026-118527 | Vorhersagbare Dateinamen bei Uploadvorgängen | CVSS 3.1: 4,3 laut Hersteller |
Auch wenn die einzelnen Sicherheitslücken unterschiedlich bewertet werden, sollte das nicht darüber hinwegtäuschen, wie gefährlich ihr Zusammenspiel ist. Ein Angreifer kann mehrere Schwachstellen nacheinander ausnutzen, um Sicherheitsbeschränkungen zu umgehen. Für Administratoren ist daher die gesamte Angriffskette entscheidender als ein einzelner CVSS-Wert.
Ivanti Connect Secure Sicherheitsupdates
Ivanti hat am 29. Oktober 2026 weitere Sicherheitskorrekturen bereitgestellt. Verwende ausschließlich die für Deinen Versionszweig bestätigten Herstellerpakete.
Ivanti Connect Secure 25.1.1
Für Installationen des Versionszweigs 25.1.1. Die Version 25.1.1.2 und ältere Stände sind von den beiden zusätzlichen Schwachstellen betroffen. Veröffentlichung der Korrektur: 29.10.2026.
Ivanti Connect Secure 22.8R2
Für Installationen des Versionszweigs 22.8R2. Die Version 22.8R2.5 und ältere Stände sind von den beiden zusätzlichen Schwachstellen betroffen. Veröffentlichung der Korrektur: 29.10.2026.
Offizielles Ivanti Portal öffnenWichtige Sicherheitshinweise
Die Downloadseiten erfordern gegebenenfalls ein berechtigtes Ivanti-Kundenkonto. Für andere 25.1-Versionszweige muss der korrigierte Softwarestand anhand der aktuellen Hersteller-Versionsmatrix bestimmt werden.
Die Paketgröße ist nicht verifiziert und wird deshalb nicht angegeben. Ein direkter öffentlicher Download der Installationsdateien konnte nicht bestätigt werden.
Bei Verdacht auf einen bereits erfolgten Angriff sollten Beweise und flüchtige Systemdaten vor einem Neustart nach einem abgestimmten Incident-Response-Verfahren gesichert werden.
Welche Ivanti Connect Secure Versionen sind betroffen?
Ivanti hat die beiden zusätzlichen Schwachstellen mit neuen Softwareversionen korrigiert. Die Updates wurden am 29. Oktober 2026 veröffentlicht. Besonders wichtig ist, dass die Versionen 25.1.1.2 und 22.8R2.5 zwar bereits die ältere Schwachstelle CVE-2026-104935 beheben konnten, aber noch nicht gegen alle drei bekannten Probleme geschützt waren.
| Versionszweig | Betroffen | Korrigierte Version |
|---|---|---|
| Ivanti Connect Secure 25.1.1 | 25.1.1.2 und ältere Stände | 25.1.1.3 |
| Ivanti Connect Secure 22.8R2 | 22.8R2.5 und ältere Stände | 22.8R2.6 |
Für andere 25.1-Versionszweige musst Du unbedingt die genaue Versionsmatrix des Herstellers beachten. In den Sicherheitsinformationen wird beispielsweise auch der Versionszweig 25.1.3 berücksichtigt. Die hier genannten korrigierten Versionen dürfen deshalb nicht ungeprüft auf jede 25.1-Installation übertragen werden.
Eine Besonderheit gilt für Unternehmen, die verschiedene VPN- und Firewallprodukte einsetzen. Die Sicherheitsupdates von Ivanti betreffen nicht automatisch andere Hersteller. Allerdings zeigt der Vorfall, warum gerade öffentlich erreichbare Zugangsgeräte regelmäßig überprüft werden müssen. Erst kürzlich hatten wir über die Fortinet Sicherheitsupdates vom Oktober 2026 berichtet.
Wie konnten Angreifer Ivanti Connect Secure übernehmen?
Sicherheitsforscher von Volexity haben eine Angriffskette untersucht, bei der ein VPN-System kompromittiert wurde, das zum damaligen Zeitpunkt vollständig aktualisiert war. Die betroffene Installation verwendete Ivanti Connect Secure 22.8R2.4.
Zunächst konnten die Angreifer die normalerweise erforderliche Authentifizierung umgehen. Anschließend nutzten sie weitere Schwachstellen, um eigenen Code auszuführen und ihre Berechtigungen bis auf die höchste Systemebene zu erweitern.
Besonders gefährlich ist das bei einem VPN-Gateway: Solche Systeme stehen häufig direkt am Übergang zwischen Internet und internem Unternehmensnetzwerk. Sie kennen Benutzerkonten, verarbeiten Anmeldedaten und dürfen oft auf zentrale Dienste zugreifen.
Wer allgemein verstehen möchte, welche Netzwerkdienste von außen erreichbar sind, findet dazu unsere Anleitung Portweiterleitung und externe Netzwerkzugriffe prüfen.
Angreifer suchten nach Active-Directory-Passwörtern
Besonders ernst sind die Aktivitäten, die nach der Übernahme des VPN-Systems beobachtet wurden. Die Angreifer beschränkten sich nicht darauf, die VPN-Appliance selbst zu kontrollieren. Sie versuchten auch, Zugangsdaten und Informationen aus der angeschlossenen Windows-Domäne zu beschaffen.
Dazu gehörten unter anderem gespeicherte Anmeldedaten für LDAP-Verbindungen. LDAP wird in vielen Unternehmensumgebungen zur Kommunikation mit Active Directory verwendet. Wie das Protokoll grundsätzlich funktioniert, erklären wir in unserem Beitrag Was ist LDAP?.
Wenn solche Konten kompromittiert werden, können sich daraus zusätzliche Angriffsmöglichkeiten ergeben. Das gilt besonders dann, wenn ein Dienstkonto mehr Berechtigungen besitzt, als für die eigentliche Authentifizierung notwendig wären.
Auch LAPS-Passwörter und BitLocker-Schlüssel standen im Fokus
Außerdem beobachteten die Forscher bei der Untersuchung Zugriffsversuche auf Informationen zu lokalen Administratorpasswörtern und BitLocker. Die Angreifer suchten dabei unter anderem nach Kennwörtern, die über LAPS verwaltet werden, sowie nach Wiederherstellungsschlüsseln.
Mit Windows LAPS lassen sich lokale Administratorkennwörter zentral verwalten und regelmäßig ändern. Das verbessert die Sicherheit erheblich, setzt aber voraus, dass nur entsprechend berechtigte Konten diese Kennwörter auslesen dürfen.
Auch der BitLocker-Wiederherstellungsschlüssel ist eine vertrauliche Information. Er kann zur Wiederherstellung des Zugriffs auf verschlüsselte Windows-Datenträger benötigt werden. Das bedeutet nicht, dass die Angreifer automatisch alle Computer entschlüsseln konnten. Ein möglicher Abfluss solcher Schlüssel muss bei einer Sicherheitsuntersuchung aber berücksichtigt werden.
Warum ein installiertes Ivanti-Update allein nicht genügt
Ein aktualisiertes VPN-Gerät ist gegen die beschriebenen Fehler geschützt, sofern die passende korrigierte Version installiert ist. Das klärt aber nicht, ob ein Angreifer bereits vorher Zugriff hatte.
Gerade bei dieser Angriffskette ist besondere Vorsicht angebracht. Die Angreifer haben teilweise im Arbeitsspeicher Änderungen vorgenommen und Spuren aus Protokollen entfernt. Ein unauffälliger Integritätscheck der VPN-Appliance ist deshalb kein sicherer Beweis dafür, dass kein Angriff stattgefunden hat.
Hinzu kommt: Einmal entwendete Kennwörter lassen sich weiterhin nutzen, selbst wenn das ursprüngliche Einfallstor inzwischen geschlossen ist. Administratoren sollten deshalb unabhängig von der Installation des Sicherheitsupdates klären, ob eine Kompromittierung stattgefunden hat.
Ivanti Connect Secure absichern: Schritt für Schritt
Wenn Dein Unternehmen Ivanti Connect Secure einsetzt, solltest Du die betroffenen Geräte möglichst kurzfristig überprüfen. Plane dabei sowohl die technische Aktualisierung als auch eine Untersuchung auf bereits erfolgte Angriffe ein.
- Erfasse zuerst alle eingesetzten Ivanti Connect Secure Appliances einschließlich virtueller Instanzen und möglicher zusätzlicher Standorte.
- Kontrolliere danach für jedes Gerät die genaue Softwareversion und den verwendeten Versionszweig.
- Vergleiche anschließend die Versionen mit der aktuellen Sicherheitsmatrix von Ivanti und stelle die passenden korrigierten Pakete bereit.
- Prüfe vor einem Neustart, ob Anzeichen einer Kompromittierung bestehen und ob flüchtige Daten für eine forensische Untersuchung gesichert werden müssen.
- Installiere danach die freigegebene korrigierte Version entsprechend der Herstelleranleitung und dem eigenen Wartungskonzept.
- Kontrolliere umgehend nach dem Update die tatsächliche Versionsnummer und teste die VPN-Anmeldung mit einem dafür vorgesehenen Testkonto.
- Untersuche außerdem die Zugriffe der VPN-Appliance auf Active Directory, LDAP und weitere interne Dienste auf ungewöhnliche Aktivitäten.
- Prüfe bei Verdacht auf einen erfolgreichen Angriff die notwendigen Maßnahmen zur Wiederherstellung und zum Austausch betroffener Zugangsdaten.
Bei einem konkreten Verdacht auf Kompromittierung ist es sinnvoll, ein Incident-Response-Team einzubeziehen. Ein vorschneller Neustart oder das Löschen von Protokollen kann wichtige Untersuchungsdaten vernichten. Die Wiederherstellung eines kompromittierten Geräts sollte nach einem abgestimmten Verfahren erfolgen.
Windows Server und Active Directory nach einem Angriff überprüfen
War die VPN-Appliance mit einer Windows-Domäne verbunden, sollte auch die Active-Directory-Umgebung in die Untersuchung einbezogen werden. Besonders wichtig sind dabei die eingesetzten Dienstkonten, ihre Gruppenmitgliedschaften und mögliche Anmeldeaktivitäten, die vom normalen Betrieb abweichen.
Mit geeigneten PowerShell-Befehlen für Active Directory kannst Du Benutzerkonten und Gruppenmitgliedschaften kontrollieren. Für die Untersuchung bestimmter Verzeichnisobjekte hilft außerdem der Windows-Befehl DSQUERY.
Zusätzlich lohnt es sich, die Sicherheitsprotokolle der Domänencontroller auszuwerten. Unsere Anleitung Ereignisanzeige mit PowerShell auslesen zeigt Dir unter anderem, wie Du Anmeldeereignisse nach Zeitraum und Ereignis-ID filterst.
Bei einem bestätigten Zugangsdatenabfluss sollten betroffene Passwörter und gegebenenfalls technische Zugangsschlüssel ausgetauscht werden. Dazu können LDAP-Dienstkonten, Administratorzugänge, API-Schlüssel und Zertifikate gehören. Welche Konten tatsächlich betroffen sind, muss die Untersuchung klären.
Die Risiken privilegierter und schwacher Konten erläutern wir ergänzend unter Gefährliche Passwörter in Active Directory und Entra ID.
Was bedeutet die Ivanti-Warnung für normale Windows-Anwender?
Die beschriebenen Sicherheitslücken stecken nicht direkt in Windows 11, Windows 10 oder Microsoft Edge. Betroffen sind vielmehr die zentralen Ivanti-Connect-Secure-Systeme, über die Mitarbeitende eine Verbindung ins Unternehmensnetzwerk herstellen.
Wer nur einen VPN-Client auf einem Windows-PC nutzt, kann das eigentliche Problem daher in der Regel nicht mit einem Windows-Update beheben. Die Korrektur muss auf der betroffenen VPN-Infrastruktur erfolgen.
Wurde ein VPN-Gateway kompromittiert, kann allerdings auch der Zugriff auf interne Windows-Systeme betroffen sein. Deshalb sollten Unternehmen zusätzliche Anmeldesicherungen verwenden, den Zugriff von Dienstkonten begrenzen und unnötige interne Verbindungen einschränken. Einen allgemeinen Überblick über den Zugriff auf Windows-Rechner bietet unsere Anleitung zur Remotedesktopverbindung.
FAQ: Häufige Fragen zu den Ivanti Connect Secure Sicherheitslücken
CISA hat am 30. Oktober 2026 die Schwachstellen CVE-2026-111357 und CVE-2026-118527 in den KEV-Katalog aufgenommen. Sie können zusammen mit CVE-2026-104935 ausgenutzt werden.
Für die dokumentierten Versionszweige 25.1.1 und 22.8R2 stehen 25.1.1.3 beziehungsweise 22.8R2.6 bereit. Für andere Versionszweige ist die jeweils aktuelle Herstellerübersicht maßgeblich.
Nein, wenn das VPN-System bereits kompromittiert wurde, können weiterhin gestohlene Zugangsdaten oder andere Folgen des Angriffs bestehen. Betroffene Unternehmen sollten deshalb zusätzlich eine Sicherheitsuntersuchung durchführen.
Nein, die beschriebenen Schwachstellen betreffen Ivanti Connect Secure. Windows-Systeme und Active Directory können jedoch indirekt gefährdet sein, wenn Angreifer ein verbundenes VPN-Gateway übernehmen.
Nein. Bei der dokumentierten Angriffskette wurden unter anderem Veränderungen im Arbeitsspeicher genutzt. Ein unauffälliger Integritätscheck allein reicht deshalb nicht aus, um eine Kompromittierung auszuschließen.
Fazit: Ivanti-Updates installieren und mögliche Angriffe untersuchen
Die neuen Warnungen machen deutlich, wie gefährlich Sicherheitslücken in öffentlich erreichbaren VPN-Systemen werden können, wenn sie sich miteinander kombinieren lassen. Besonders kritisch ist, dass ein zuvor installiertes Oktober-Update nicht zwangsläufig alle drei Schwachstellen beseitigt hat. Unternehmen sollten deshalb die genaue Versionsnummer prüfen und die am 29. Oktober veröffentlichten Korrekturen berücksichtigen.
Ebenso wichtig ist eine Untersuchung auf mögliche frühere Angriffe. Wenn Zugangsdaten aus Active Directory oder andere vertrauliche Informationen betroffen waren, reicht ein nachträgliches Update nicht aus. Die offizielle Bestätigung der neu aufgenommenen Sicherheitslücken und die betroffenen Versionszweige findest Du in der am 30. Oktober 2026 aktualisierten Ivanti-Sicherheitswarnung des kanadischen Cyber Security Centre.
Neueste Kommentare