Ivanti Connect Secure: CVE-2026-104935 patchen und frühere Kompromittierungen untersuchen

Worum es geht

Stand: 25. Oktober 2026. CVE-2026-104935 ist eine Umgehung der Authentifizierung, die in Ivanti Connect Secure die Ausführung von Befehlen ohne Authentifizierung ermöglicht. Dieser Artikel verwendet die CISA-Warnung und Ivantis Sicherheitsaktualisierungen vom 13. Oktober 2026. Vor der Behebung das Herstellerbulletin, hardwarekompatible Upgrade-Pfade und die separate Korrektur der Schwachstelle zur Rechteausweitung erneut prüfen. Ivantis Oktober-Aktualisierung bezeichnete diese zusätzliche Korrektur weiterhin als noch ausstehend; dieser Artikel behauptet nicht, dass die gesamte gemeldete Angriffskette behoben ist. Ivanti-Aktualisierung.

Warum es wichtig ist

CISA berichtet vom Diebstahl von Zugangsdaten und vom Abfluss von Daten und bestätigt die Aufnahme der Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen am 13. Oktober 2026. Befehle können im Arbeitsspeicher ausgeführt werden; deshalb kann ein Ergebnis des Integrity Checker Tool (ICT) eine Ausnutzung nicht ausschliessen. Um diese Möglichkeit zu untersuchen, sind Netzwerk- und Speicherforensik erforderlich. CISA-Warnung.

Ivantis ältere Erläuterung zum ICT unterscheidet Dateiintegritätsvergleiche von Schadsoftware-Erkennung: Das externe Paket vergleicht versionsspezifische Dateien und Hashes, und interne sowie externe Prüfungen ergänzen die kontinuierliche Überwachung. Diese historischen Hinweise erläutern die Werkzeuge; ihre alten vorfallspezifischen Patch-Anweisungen sind nicht die Wiederherstellungsanweisungen für diese Schwachstelle. ICT-FAQ.

So wird es angewendet

• Die installierte Versionslinie und Erreichbarkeit jeder Appliance erfassen. CISA nennt in den betroffenen Linien 25.1.1.1 und früher, 25.1.2.2 und früher sowie 22.8R2.4 und früher. Diese branchspezifischen Angaben nicht zu einem einzigen numerischen Bereich über sämtliche Releases zusammenfassen.
• Eine kompatible Korrektur auswählen. Ivanti nennt je nach Versionslinie 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5. Vor der Auswahl eines Images den unterstützten Migrationspfad der Appliance bestätigen. Dies sind Korrekturen für diese CVE und keine Erklärung, dass jede Schwachstelle behoben sei. Release-Übersicht des Herstellers.
• Vor eingreifenden Wiederherstellungsmassnahmen gemeinsam mit dem Vorfallsreaktionsteam Beweise sichern. Wird das Gateway über Neurons for Secure Access verwaltet, unter Administration > Tenant Logs Administrator- und Ereignisaufzeichnungen prüfen und exportieren. Unerklärte Upgrades, Konfigurationsänderungen und Neustarts zur Untersuchung erfassen. Das dokumentierte Bedienelement für den Log-Export heisst Export Logs. Administrationshandbuch.
• Das zutreffende interne ICT und das aktuelle externe ICT ausführen. Im selben Verwaltungsdienst Administration > Integrity Checker Tool wählen, das Gateway auswählen und anschliessend Scan now ausführen. Den Bericht und den verfügbaren Snapshot sichern. Bestätigen, dass tatsächlich ein Scan abgeschlossen wurde; ein leerer Scan-Verlauf ist kein unauffälliges Ergebnis. Den Support um Einordnung von Auffälligkeiten bitten.
• Bei Verdacht auf eine Kompromittierung die Wiederherstellungsreihenfolge von CISA befolgen: Konfiguration sichern, die Hardware auf Werkseinstellungen zurücksetzen oder die virtuelle beziehungsweise Cloud-Instanz neu aufbauen, ein Upgrade durchführen und die Konfiguration wiederherstellen. Passwörter für Domänen-, Administrator- und lokale Konten zurücksetzen; gespeicherte Zertifikate widerrufen und neu ausstellen; gespeicherte API-Schlüssel und Zugangsdaten für Lizenzserver ersetzen. Hinweise zur Wiederherstellung.
• Nach der Wiederherstellung das installierte Release überprüfen, zutreffende Integritätsprüfungen wiederholen und Netzwerküberwachung sowie Log-Prüfungen fortsetzen. Ivanti betrachtet das Patchen ausdrücklich als einen Teil der fortlaufenden Überprüfung der Appliance-Integrität. Sicherheitsaktualisierung.

Stolpersteine

Eine Integritätsauffälligkeit muss untersucht werden, während ein unauffälliger Scan nicht belegen kann, dass in der Vergangenheit keine Kompromittierung stattgefunden hat. Die forensische Schlussfolgerung getrennt vom Upgrade-Nachweis halten. Patch- oder Rücksetzanweisungen aus einem älteren Ivanti-Vorfall nicht wiederverwenden, ohne die aktuelle Sicherheitsmeldung und die Deployment-Art zu prüfen.