Swiss KMU Cyber-Alert: Ivanti Connect Secure – aktiv ausgenutzte VPN-Lücke erlaubt Befehle ohne Anmeldung
Ivanti warnt vor CVE-2026-104935 in Connect Secure, einem VPN-Gateway für sichere Fernzugriffe. Angreifer können verwundbare Systeme aus dem Internet ohne Anmeldung dazu bringen, Befehle auszuführen; die Ausnutzung wurde bestätigt.
Falls Ihr Unternehmen oder Ihr IT-Dienstleister Ivanti Connect Secure einsetzt, sollten Version, Update-Stand und mögliche Angriffsspuren noch heute geprüft werden.
Was ist passiert?
Ivanti veröffentlichte die Warnung am 13. Oktober 2026 und bestätigte Angriffe auf eine begrenzte Zahl von Kunden. CISA nahm die Lücke am selben Tag in den Katalog der aktiv ausgenutzten Schwachstellen auf. Volexity beobachtete bereits ab dem 3. Oktober Angriffe auf ein damals vollständig aktualisiertes System mit Version 22.8R2.4.
Könnte mein Unternehmen betroffen sein?
Betroffen sein können Unternehmen, die Ivanti Connect Secure als VPN-Zugang für Mitarbeitende oder externe Partner einsetzen – auch wenn das Gerät von einem IT-Dienstleister betrieben wird. Gefährdet sind 25.1.1.1 und ältere Versionen dieser Linie, 25.1.2.2 und ältere Versionen dieser Linie sowie 22.8R2.4 und ältere Versionen dieser Linie. Laut Ivanti sind 22.7.x und ältere Versionen nicht von dieser Lücke betroffen.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister jetzt mit drei Punkten:
Prüfen, ob Ivanti Connect Secure eingesetzt wird und welche Version aktiv ist.
Unverzüglich auf die für die jeweilige Versionslinie vorgesehene bereinigte Version aktualisieren.
Auch nach dem Update nach Anzeichen einer Kompromittierung suchen und bei Verdacht die Wiederherstellungs- und Forensikempfehlungen des Herstellers befolgen.
Wie dringend ist es?
Sehr hoch – noch heute. Die Lücke wird aktiv ausgenutzt, ist über das Netzwerk ohne Anmeldung erreichbar und betrifft ein VPN-System am Rand des Firmennetzwerks. Ein normales Wartungsfenster sollte dafür nicht abgewartet werden.
Informationen für Ihren IT-Dienstleister
CVE-2026-104935 ist ein Authentifizierungs-Bypass mit anschliessender Befehlsausführung; der CVSS-Wert beträgt 8.6. Ivanti nennt folgende bereinigte Versionen:
25.1.1.1 und älter in dieser Linie → 25.1.1.2
25.1.2.2 und älter in dieser Linie → 25.1.3.0 oder 25.1.3.1
22.8R2.4 und älter in dieser Linie → 22.8R2.5
Die beobachtete Angriffskette nutzte zusätzlich eine separate Rechteausweitung bis Root, für die bei Veröffentlichung noch ein weiteres Update angekündigt war. Volexity weist zudem darauf hin, dass der Ivanti Integrity Checker die speicherbasierte Angriffskette übersehen kann; bei Verdacht sind Netzwerk- und Speicherforensik erforderlich.
