Ivanti Connect Secure benötigt Updates gegen bereits ausgenutzte Lücken

Für Betreiber von Ivanti Connect Secure lohnt sich ein genauer Blick auf die installierte Version. Der Hersteller bietet mit 25.1.1.3 und 22.8R2.6 Aktualisierungen gegen zwei weitere Schwachstellen an. Die US-Sicherheitsbehörde CISA hat beide am 30. Oktober in ihren Katalog bereits ausgenutzter Sicherheitslücken aufgenommen.

Die neuen Einträge tragen die Kennungen CVE-2026-111357 und CVE-2026-118527. Nach Angaben von Ivanti wurden diese zusammen mit CVE-2026-104935 für Angriffe genutzt. Dem Unternehmen war zum Zeitpunkt der Offenlegung eine begrenzte Zahl betroffener Kunden bekannt.

Auch frühere Korrekturen reichen nicht für beide Lücken

Für die beiden neu eingetragenen Schwachstellen nennt Ivanti die Versionen 25.1.1.2 und älter sowie 22.8R2.5 und älter als betroffen. Wer noch den Zweig 22.8 verwendet, soll laut Hersteller auf 25.1.1.3 oder eine spätere Fassung wechseln. Ist das kurzfristig nicht möglich, beseitigt auch 22.8R2.6 die in der Warnung beschriebenen Lücken. Die Fassung 25.1.3.0 und spätere Versionen sind nach Herstellerangaben nicht betroffen.

Unterschiedliche Voraussetzungen für Angriffe

Bei CVE-2026-111357 kann ein Angreifer seine Rechte erweitern, wenn er bereits lokal angemeldet ist. CVE-2026-118527 betrifft dagegen vorhersagbare Dateinamen: Ein bereits authentifizierter Angreifer kann aus der Ferne Dateien mit selbst bestimmtem Inhalt an einer bekannten Stelle ablegen. Die Voraussetzungen der einzelnen Lücken sind damit von ihrem gemeinsamen Einsatz in einer Angriffskette zu unterscheiden.

Ivanti empfiehlt zudem, sein Integrity Checker Tool regelmäßig einzusetzen. Bei Verdacht auf einen Angriff verweist der Hersteller auf seine Wiederherstellungsschritte; verfügbare Hinweise auf eine Kompromittierung seien derzeit begrenzt.

Die ursprüngliche Herstellerwarnung stammt vom 13. Oktober und wurde am 29. Oktober um die zusätzlichen Lücken und Aktualisierungen erweitert. Neu ist die Aufnahme der beiden Kennungen in den CISA-Katalog vom 30. Oktober.