Zero-Day-Schwachstellen in Ivanti Connect Secure

Das Unternehmen Ivanti veröffentlichte am 13. Oktober 2026 eine Warnmeldung zu den folgenden kritischen Schwachstellen in seinem Produkt Ivanti Connect Secure:

• CVE-2026-104935 (EUVD-2026-98816) mit einem CVSS-Score von 8.6/10 ermöglicht Angreifenden, Authentifizierungsmechanismen zu umgehen und Befehle auf verwundbaren Systemen auszuführen.

• Eine weitere, bislang ungepatchte Sicherheitslücke ohne CVE-Kennung ermöglicht Angreifenden, ihre Rechte auszuweiten und die Befehle mit Root-Rechten auszuführen.

Das BSI griff die Warnmeldung von Ivanti am 14. Oktober 2026 in einem BSI-IT-Sicherheitshinweis auf und berichtet zudem darüber, dass die Schwachstellen in Kombination aktiv ausgenutzt werden.

Betroffen von den beschriebenen Schwachstellen sind folgende Connect-Secure-Versionen:

• bis einschließlich 25.1.1.1

• bis einschließlich 22.8R2.4

• bis einschließlich 25.1.2.2

In seinem Sicherheitshinweis verweist das BSI außerdem auf Mitigationsmaßnahmen und Kompromittierungsindikatoren (Indicator of Compromise: IoC) zur Prüfung von Systemen auf Anzeichen einer Kompromittierung.

Empfehlungen

• Installieren Sie umgehend je nach installierter Produktinstanz eine der folgenden Versionen von Ivanti Connect Secure, um CVE-2026-104935 zu schließen:

  • 25.1.1.2

  • 22.8R2.5

  • 25.1.3

• Beachten Sie die Mitigationsmaßnahmen im unten verlinkten Sicherheitshinweis des BSI.

• Prüfen Sie Ihre Systeme mithilfe der IoCs, auf die das BSI in seinem unten verlinkten Sicherheitshinweis verweist.

Weitere Informationen

• Warnmeldung von Ivanti (engl.)
• IT-Sicherheitshinweis des BSI
• Schwachstellenmeldung des BSI
• Schwachstellenmeldung der ENISA (engl.)