Ivanti veröffentlicht Updates für zwei weitere Connect-Secure-Schwachstellen
Ivanti hat am 2. November Sicherheitsupdates für zwei weitere Schwachstellen in seinen Connect-Secure-Fernzugriffsgateways veröffentlicht. Angreifer nutzen CVE-2026-111357 und CVE-2026-118527 laut BleepingComputer seit mindestens dem 1. Oktober in Zero-Day-Angriffen zusammen mit der im Vormonat behobenen Authentifizierungsumgehung CVE-2026-104935.
Ivanti stuft CVE-2026-111357 laut dem Bericht als Schwachstelle zur Rechteausweitung mit hohem Schweregrad ein. CVE-2026-118527 ermöglicht es authentifizierten Angreifern demnach, Dateien auf einem ungepatchten Gerät hochzuladen. Der Bericht nennt keine betroffenen Versionsbereiche. Betreiber von Connect Secure sollten deshalb prüfen, welche von Ivanti bereitgestellten Sicherheitsupdates für ihre Systeme gelten.
Die Sicherheitsfirma Volexity berichtete, dass der Angreifer UTA0576 CVE-2026-104935 seit mindestens dem 3. Oktober zusammen mit zwei weiteren Schwachstellen ausnutzte. Ziel war Volexity zufolge eine nicht authentifizierte Codeausführung mit Root-Rechten auf vollständig gepatchten Connect-Secure-Geräten. UTA0576 setzte dabei weder Schadsoftware noch eine Webshell ein, schrieb Volexity. Stattdessen nutzte der Angreifer das Gerät für jeden Befehl erneut aus und veränderte Protokolle, um seine Spuren zu verwischen und Ivantis Integrity Checker Tool zu umgehen.
Ivanti hatte im Oktober vor einer begrenzten Ausnutzung von CVE-2026-104935 gewarnt und Administratoren laut BleepingComputer zu einem möglichst schnellen Upgrade aufgefordert. In einem aktualisierten Advisory erklärte das Unternehmen, es habe zunächst einen Fix für CVE-2026-104935 bereitgestellt, weil diese Schwachstelle den wichtigsten Angriffsweg beseitigte. Die weiteren beiden Schwachstellen stehen nun zusätzlich im Zusammenhang mit den Angriffen.
Die US-Behörde CISA nahm CVE-2026-104935 laut BleepingComputer in ihren Katalog aktiv ausgenutzter Schwachstellen auf und ordnete US-Bundesbehörden an, ihre Systeme bis Freitag zu patchen. Diese Vorgabe bezog sich laut dem Bericht auf CVE-2026-104935, nicht ausdrücklich auf CVE-2026-111357 oder CVE-2026-118527.
Shadowserver verfolgt laut BleepingComputer mehr als 5.000 aus dem Internet erreichbare Connect-Secure-Instanzen. Wie viele davon bereits gegen die laufenden Angriffe abgesichert wurden, ist nach Angaben des Berichts nicht bekannt.