Connect Secure: Authentication Bypass by Spoofing (CVE-2026-104935)

Was ist betroffen, was ist zu tun

Eine Schwachstelle zur Umgehung der Authentifizierung durch Spoofing in ICS vor Version 25.1.3.0 ermöglicht es einem Angreifer aus der Ferne, ohne Authentifizierung beliebige Befehle auszuführen. Dies betrifft ICS-Versionen 22.7R2.14 oder früher nicht.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Connect Secure auf Version 22.8R2.5. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch sofort einspielen: Ivanti Connect Secure auf Version 25.1.3.0 oder höher aktualisieren. ICS-Versionen 22.7R2.14 und älter sind laut Hersteller nicht betroffen — Versionszweig im Vendor-Advisory verifizieren, bevor Maßnahmen priorisiert werden.
   • Exponierte Appliances identifizieren: Alle ICS-Instanzen inventarisieren, die über das Internet erreichbar sind (TCP 443, TCP 8443). Besonderes Augenmerk auf Versionen zwischen 22.7R2.15 und 25.1.2.x.
   • Externe Erreichbarkeit einschränken: Bis zum Patch-Abschluss den Zugang zum ICS-Verwaltungsportal und zum User-Portal auf bekannte Quell-IP-Bereiche (VPN-Konzentratoren, Jump-Hosts) per Firewall-ACL beschränken.
   • Aktive Sessions auditieren: Alle bestehenden VPN-Sitzungen beenden und Nutzer zur erneuten Authentifizierung zwingen. Sitzungstoken und gespeicherte Credentials als potenziell kompromittiert behandeln.
   • Integritätsprüfung ausführen: Ivantis Integrity Checker Tool (ICT) auf betroffenen Appliances starten, um Anzeichen einer bereits erfolgten Kompromittierung zu erkennen, bevor der Patch eingespielt wird.
   • Privilegierte Zugangsdaten rotieren: Alle Service-Accounts, LDAP-Bind-Passwörter und Zertifikate, die auf der ICS-Appliance konfiguriert sind, unverzüglich rotieren — insbesondere wenn die Appliance bereits exponiert war.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: ICS-Appliances in eine dedizierte DMZ verschieben; ausgehende Verbindungen vom ICS-Segment auf notwendige Backend-Systeme (RADIUS, LDAP, AD) beschränken. Lateral-Movement-Pfade ins interne Netz blockieren.
   • WAF/Reverse-Proxy vorschalten: Einen Reverse-Proxy oder eine WAF vor das ICS-Portal schalten, der Anfragen mit anomalen Host-Headern, unerwarteten HTTP-Methoden oder Spoofing-typischen Header-Kombinationen (z. B. X-Forwarded-For in Kombination mit manipulierten Host-Werten) ablehnt.
   • IPS-Signatur aktivieren: Suricata/Snort-Regel für anomale Authentifizierungsanfragen an /dana-na/auth/ und /dana/home/ ohne gültige Session-Cookies aktivieren; Schwellenwert für fehlgeschlagene Auth-Versuche von einer einzelnen Quell-IP auf ≤ 5/min setzen.
   • Least-Privilege für nachgelagerte Systeme: Sicherstellen, dass der Service-Account, den ICS für LDAP/AD-Abfragen nutzt, ausschließlich Leserechte besitzt. Kein Domain-Admin-Kontext auf der Appliance.
   • MFA erzwingen: Sofern noch nicht aktiv, Multi-Faktor-Authentifizierung für alle ICS-Benutzergruppen aktivieren — auch wenn der Bypass unauthentifizierte Ausführung ermöglicht, reduziert MFA die Angriffsfläche für nachgelagerte Missbrauchsszenarien.
   • Logging-Vollständigkeit sicherstellen: Syslog-Weiterleitung vom ICS an das SIEM prüfen; sicherstellen, dass Auth-Logs, Admin-Logs und System-Logs vollständig ankommen, bevor Incident-Response-Maßnahmen greifen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-Access-Log-Muster: Anfragen auf /dana-na/auth/ oder /dana/home/ mit HTTP-Statuscodes 200/302 ohne vorangehende POST-Authentifizierung in derselben Session — SPL: index=proxy uri_path IN ("/dana-na/auth/*","/dana/home/*") status IN (200,302) | stats count by src_ip, session_id | where isnull(session_id) OR count < 2
   • Anomale Befehlsausführung auf der Appliance: Prozess-Spawning durch den ICS-Webserver-Prozess (z. B. dswebserver, perl, python) auf unerwartete Shell-Prozesse (/bin/sh, bash, busybox) — Auditd-Regel: -a always,exit -F arch=b64 -S execve -F ppid=<dswebserver_pid> -k ics_rce.
   • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen vom ICS-Segment zu externen IPs auf ungewöhnlichen Ports (nicht 443, 80, 389, 636) innerhalb von 60 Sekunden nach einer Authentifizierungsanfrage — Indiz für Reverse-Shell oder C2-Beacon.
   • Sigma-Regelform für SIEM:

     title: ICS Auth Bypass Exploit Attempt
     logsource: category=webserver
     detection:
       selection:
         cs-uri-stem|contains:
           - '/dana-na/auth/'
           - '/dana/home/'
         sc-status: [200, 302]
       filter:
         cs-method: 'POST'
       condition: selection and not filter
     

   • Integrity Checker Abweichungen: Ausgaben des Ivanti ICT, die modifizierte Systemdateien oder unbekannte Prozesse melden, als High-Severity-Alert im SIEM behandeln (Syslog-Facility des ICT in SIEM-Quelle aufnehmen).

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Eine Schwachstelle zur Umgehung der Authentifizierung durch Spoofing in ICS vor Version 25.1.3.0 ermöglicht es einem Angreifer aus der Ferne, ohne Authentifizierung beliebige Befehle auszuführen. Dies betrifft ICS-Versionen 22.7R2.14 oder früher nicht.

Quelle: BSI CSAF, BSI WID Portal, cvelistv5, NVD (NIST), ivanti_bulletin, CISA KEV Catalog

Weakness-Klassen (CWE)

• CWE-290Authentication Bypass by Spoofing

  Base

  This attack-focused weakness is caused by incorrectly implemented authentication schemes that are subject to spoofing attacks.

  Eintrag bei MITRE CWE-290

Quellen & Referenzen

• hub.ivanti.coms/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-1049…
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-1049…government-resource

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

1. Initial Analysis13.10.2026nvd@nist.gov

   • CPE Configuration: nachher OR *cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:* versions from (including) 25.1.0.0 up to (excluding) 25.1.1.2 *cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:* versions from (including) 25.1.2.0 up to (excluding) 25.1.3.0 *cpe:2.3:a:ivanti:connect_secure:22.8:r2:*:*:*:*:*:* *cpe:2.3:a:ivanti:connect_secure:22.8:r2.1:*:*:*:*:*:* *cpe:2.3:a:ivanti:connect_secure:22.8:r2.2:*:*:*:*:*:* *cpe:2.3:a:ivanti:connect_secure:22.8:r2.3:*:*:*:*:*:* *cpe:2.3:a:ivanti:connect_secure:22.8:r2.4:*:*:*:*:*:*
   • Reference Type: nachher CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-104935 Types: US Government Resource
   • Reference Type: nachher ivanti: https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935 Types: Vendor Advisory

2. CVE CISA KEV Update13.10.20269119a7d8-5eab-497f-8521-727c672e3725

   • Date Added: nachher 2026-10-13
   • Due Date: nachher 2026-10-13
   • Required Action: nachher 2026-10-13
   • Vulnerability Name: nachher 2026-10-13

3. New CVE Received13.10.20263c1d8aa1-5a33-4ea4-8992-aadd6440af75

   • Description: nachher Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.
   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
   • CWE: nachher CWE-290
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/104xxx/CVE-2026-104935.json">CVE-2026-104935</a>

4. CVE Modified13.10.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • Reference: nachher https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-104935
   • SSVC: nachher {"id":"CVE-2026-104935","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"techni…

Verknüpfte Empfehlungen

• Ivanti ICS Zero-Day Angriffe unterstreichen Herausforderungen bei PatchesDark Reading14.10.2026
• CISA fordert sofortige Updates für Ivanti Connect SecureThe Hacker News14.10.2026
• Hacker nutzen Ivanti Connect Secure-Bug für Zugriff ohne KontenCSO Online14.10.2026
• Schwachstelle in Ivanti Connect Secure (ICS) (14. Oktober 2026)CERT-FR (ANSSI)14.10.2026
• Ivanti Zero-Day Chain ermöglicht Root-Zugriff auf vollständig gepatchte VPNsSecurityWeek13.10.2026