Ivanti Connect Secure: aktiv ausgenutzte Rechteausweitung CVE-2026-111357

Was ist passiert

Am 15. Oktober 2026 wurde eine Schwachstelle in Ivanti Connect Secure unter CVE-2026-111357 öffentlich bekannt. Es handelt sich um eine fehlende Authentifizierung für eine kritische Funktion. Sie ermöglicht einem lokal authentifizierten Angreifer, seine Rechte auf dem Gateway zu erweitern. Der CVSS-Basiswert liegt bei 7,0.

Allein betrachtet setzt die Lücke einen lokalen, authentifizierten Zugriff voraus. Laut den Quelldaten können Angreifer sie mit zwei weiteren Schwachstellen, CVE-2026-104935 und CVE-2026-118527, verketten. Die Forscher von Volexity beschreiben dies als verkettete Ausnutzung von Zero-Day-Lücken in Ivanti Connect Secure. Am 30. Oktober 2026 hat CISA CVE-2026-111357 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Angriffe sind somit bestätigt.

CISA fordert Organisationen auf, die Maßnahmen des Herstellers anzuwenden und deren forensische Triage-Vorgaben zu befolgen. Sind keine Maßnahmen verfügbar, rät CISA dazu, die Nutzung des Produkts einzustellen.

Wer ist betroffen

Betroffen ist jede Organisation, die Ivanti Connect Secure als VPN- oder Remote-Access-Gateway einsetzt. Das Risiko ist für aus dem Internet erreichbare Gateways am höchsten. Viele Unternehmen nutzen diese Appliances, um Mitarbeitenden und Dienstleistern Zugriff auf interne Server zu geben. Ein kompromittiertes Gateway kann daher zu einer Gefährdung des dahinterliegenden Netzwerks führen.

Die Quelldaten nennen keine betroffenen oder korrigierten Versionen. Prüfen Sie den unten verlinkten Sicherheitshinweis von Ivanti auf die genauen Versionen sowie die verfügbaren Patches oder Maßnahmen.

Was Sie jetzt tun sollten

1. Erstellen Sie eine Inventarliste aller Ivanti-Connect-Secure-Appliances, die Sie oder Ihre Kunden betreiben. Notieren Sie, welche davon aus dem Internet erreichbar sind.
2. Öffnen Sie den unten verlinkten Ivanti-Hinweis zu CVE-2026-104935. Ermitteln Sie, welche Maßnahme oder welche korrigierte Version für Ihre Version gilt. Stellen Sie sicher, dass diese auch CVE-2026-111357 und CVE-2026-118527 abdeckt.
3. Sichern Sie die Konfiguration der Appliance, bevor Sie etwas ändern.
4. Spielen Sie den Patch oder die Maßnahme genau so ein, wie Ivanti sie beschreibt. Behandeln Sie die drei CVEs gemeinsam, da Angreifer sie kombinieren.
5. Steht weder ein Patch noch eine Maßnahme für Ihre Version bereit, sollten Sie in Erwägung ziehen, das Gateway vom Netz zu nehmen oder den Zugriff darauf einzuschränken, bis eine Lösung verfügbar ist, wie CISA empfiehlt.
6. Prüfen Sie nach dem Update, ob VPN-Anmeldungen und die dahinterliegenden Dienste wieder funktionieren.
7. Da die Schwachstellen ausgenutzt wurden, prüfen Sie die Appliances auch nach dem Patchen auf Kompromittierung (siehe unten). Ein Patch entfernt keinen Angreifer, der sich bereits im System befindet.

So prüfen Sie, ob Sie betroffen sind

• Vergleichen Sie die installierte Version jeder Appliance mit den betroffenen Versionen im Ivanti-Hinweis.
• Führen Sie die Integritätsprüfungen aus, die Ivanti in seinem Hinweis empfiehlt, und folgen Sie der forensischen Triage-Anleitung von CISA.
• Werten Sie die Gateway-Protokolle seit Mitte Oktober 2026 aus. Achten Sie auf unerwartete administrative Aktionen, unbekannte Konten, Konfigurationsänderungen und Anmeldungen von ungewöhnlichen Adressen.
• Prüfen Sie die über das VPN erreichbaren Systeme auf ungewöhnliche Aktivitäten, etwa neue Konten oder unerwartete Remote-Sitzungen.
• Wenn Sie Anzeichen einer Kompromittierung finden, isolieren Sie die Appliance und sichern Sie die Protokolle. Setzen Sie Zugangsdaten zurück, die auf dem Gateway verwendet wurden oder es passiert haben, und folgen Sie den Wiederherstellungsanweisungen von Ivanti.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-111357
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog