CISA heeft organisaties in de Verenigde Staten opgeroepen om direct actie te ondernemen richting hun Ivanti Connect Secure updates. Aanleiding is de openbaarmaking van een kwetsbaarheid die al actief wordt misbruikt in het wild. Het gaat om een authentication bypass waarmee aanvallers op afstand, zonder geldige inlog, opdrachten zouden kunnen uitvoeren.
De kwetsbaarheid is geregistreerd als CVE-2026-104935 met een CVSS-score van 8.6. CISA noemt daarbij expliciet dat dreigingsactoren de fout gebruiken voor onder meer credential theft en het exfiltreren van data. Sinds de melding staat de kwetsbaarheid bovendien op de Known Exploited Vulnerabilities (KEV)-catalogus.
Waarom CISA nu ingrijpen vraagt
Volgens CISA is er bewijs dat kwaadwillenden de kwetsbaarheid actief inzetten. In de praktijk betekent dit dat systemen die kwetsbaar zijn niet alleen theoretisch risico lopen, maar dat er al aanvallen plaatsvinden met potentieel serieuze gevolgen voor vertrouwelijke gegevens en beheer-toegang.
De kwetsbaarheid beïnvloedt meerdere versies van Ivanti Connect Secure, waaronder 25.1.1.1 en lager, 25.1.2.2 en lager en 22.8R2.4 en lager. CISA’s advies is daarom helder: update zo snel mogelijk naar een versie die de fout verhelpt.
Wat is CVE-2026-104935 precies?
De kern van de problematiek draait om het omzeilen van authenticatie. Onderzoekers geven aan dat een speciaal geconstrueerde aanvraag, inclusief een bepaalde header, voldoende kan zijn om toegang te krijgen tot functionaliteit die normaal beveiligd zou moeten zijn.
Een cruciaal onderdeel dat in meldingen terugkomt is het gebruik van een X-DSCGI-PATH-header. Daarmee proberen aanvallers een interne CGI-handler te benaderen. Daarnaast beschrijven verschillende waarnemingen dat scripts (vaak als ZIP verpakt) worden aangeboden om te testen of remote code execution mogelijk is.
Belangrijk detail: de eerste payloads die zijn gezien lijken in eerste instantie vaker gericht op testen dan op het direct uitrollen van malware. Tegelijkertijd verwacht men dat “volledige” misbruikcampagnes snel kunnen volgen.
KEV-status en deadline voor FCEB-agents
Omdat de kwetsbaarheid is toegevoegd aan de KEV-lijst, geldt er voor bepaalde overheidsorganisaties een harde route. CISA stelt dat Federal Civilian Executive Branch (FCEB)-agents de fixes moeten doorvoeren uiterlijk 16 oktober 2026.
Ook voor niet-FCEB-organisaties is de KEV-status een signaal: het onderwerp wordt als high-risk beschouwd en is relevant voor compliance en verantwoordingsplicht. Voor veel organisaties betekent dit dat “wachten tot het volgende onderhoudsvenster” niet langer verdedigbaar is als misbruik al plaatsvindt.
Versiebeperkingen en end-of-life aandachtspunt
CISA verwijst klanten ook naar de Connect Secure Upgrade and Migration Compatibility Guide van Ivanti voor patch- en migratierichtlijnen. Daarnaast waarschuwt CISA specifiek dat versie 22.8 een einde-van-ondersteuning bereikt op 31 januari 2027.
Dat maakt een update niet alleen security-gedreven, maar ook operationeel: wie afhankelijk is van oudere versies doet er verstandig aan om het upgradepad vroeg te plannen en niet te wachten tot “het moet”.
105 exploitpogingen gezien in honeypots
Naast CISA’s oproep komt er extra context vanuit observaties met honeypot-sensoren. Eén partij meldde dat er 105 exploitpogingen werden gezien vanaf 14 oktober 2026. Die pogingen zouden afkomstig zijn van 50 unieke IP-adressen, gelokaliseerd naar onder meer Singapore en de Verenigde Staten.
De IP’s die in de waarnemingen worden genoemd, lijken onderdeel van een breder scan- en testpatroon. Dit soort activiteit past bij scenario’s waarin aanvallers eerst verkennen welke systemen bereikbaar en kwetsbaar zijn, voordat ze een volgende fase inzetten.
Wat u moet doen als u Ivanti Connect Secure draait
CISA’s advies is praktisch en gelaagd: eerst voorkomen door te patchen, daarna controleren of er sprake is van compromittatie, en tot slot herstelacties uitvoeren als er een incident is.
1) Maak een back-up
Als u een apparaat wijzigt, wil CISA dat u begint met een back-up van de configuratie. Daarmee kunt u terugvallen als de upgrade leidt tot onverwachte situaties of als u na onderzoek de oorspronkelijke instellingen opnieuw moet laden.
2) Reset en upgrade naar de nieuwste versie
Wanneer u een compromis vermoedt, adviseert CISA een factory reset en vervolgens een upgrade naar de latest versie. Voor cloud- en virtual systemen raadt CISA aan om de virtuele instance opnieuw op te bouwen en ook die versie te upgraden.
3) Herstel configuratie vanuit de back-up
Na de upgrade kunt u de configuratie terugzetten vanaf de back-up die u eerder heeft gemaakt. Dit helpt om functionaliteit en integraties te behouden, terwijl het systeem opnieuw “schoon” is ingericht.
4) Reset wachtwoorden en ververs geheimen
Daarna volgt het deel dat vaak het meeste impact heeft op operations: wachtwoorden resetten voor alle accounts, inclusief domein-, administrator- en lokale accounts. Daarnaast moet u certificaten intrekken en opnieuw uitgeven, opgeslagen API-keys resetten en ook referenties voor een licentieserver vernieuwen.
Dit punt is belangrijk omdat een authentication bypass niet alleen toegang geeft tot beheer, maar ook de kans vergroot dat aanvallers credentials en keys hebben bemachtigd.
Wanneer er mogelijk misbruik is: forensisch onderzoek
CISA benadrukt dat organisaties die willen bepalen of ze gecompromitteerd zijn, netwerk- en memory forensics moeten uitvoeren om aanwijzingen van exploitatie te vinden.
Concreet vraagt CISA ook om te zoeken naar inbound requests met de X-DSCGI-PATH header. Dat is een logische indicator, omdat die header in de meldingen wordt genoemd als onderdeel van de aanvalsketen.
Praktisch betekent dit dat u niet alleen naar “crash” of “malware” kijkt, maar ook naar verzoekpatronen, timing en afgeleide effecten op authenticatie en command execution.
Wat dreigingsactoren kunnen doen na succesvolle exploit
Los van de first-stage exploit beschrijven andere meldingen hoe aanvallers zich vervolgens kunnen bewegen. In één verslag werd bijvoorbeeld genoemd dat een actor het systeem inzette voor credential extractie van de ICS VPN-appliance en daarna data beperkte Active Directory-metadata kon exfiltreren.
Verder werden acties beschreven zoals het inzetten van tools die aanvallen ondersteunen gericht op Kerberos-gerelateerde technieken (bijvoorbeeld om accounts en hashes te testen), host reconnaissance, het verzamelen van LDAP-verkeer en het plaatsen van een LDAP-gerichte tool om administratorpasswords te zoeken en BitLocker recovery keys te vinden.
Ook opvallend: er werd gerapporteerd dat het patroon gericht kan zijn op het verbergen van sporen door logwijzigingen, het verwijderen van tijdelijke artifacts en het heropbouwen van systeemstatus. Dat maakt snelle detectie lastig, maar nog belangrijker om logs, memory en netwerkverkeer systematisch te correleren.
Gerichte mitigatie: kijk ook naar uw toegangsstrategie
Patchen blijft de basis, maar incidenten met perimeter-appliances raken ook aan uw bredere security-strategie. Als Connect Secure kwetsbaar is, betekent dat dat aanvallers mogelijk bij een centrale toegangspoort komen. Daarom past dit onderwerp ook binnen een bredere aanpak van toegangsbeheersing.
Wilt u de organisatorische kant van dit soort risico’s benaderen vanuit toegangsarchitectuur? Dan kunt u het artikel over Zero Trust en Identity: strategieën en AI gebruiken als verdieping op hoe u toegang minder afhankelijk maakt van één centrale “poort”.
Conclusie: werk nu, niet later
De boodschap van CISA is duidelijk: Ivanti Connect Secure updates moeten prioriteit krijgen omdat de kwetsbaarheid actief uitgebuit wordt. Met de KEV-status, het genoemd misbruikgedrag en de waarneembare exploitpogingen is uitstel een reëel risico.
Start met patchen volgens de Ivanti-upgrade-instructies, voer vervolgens forensisch onderzoek uit als er signalen zijn, en schakel daarna over op herstelmaatregelen zoals back-ups, resetten en het vernieuwen van alle relevante credentials en certificaten. Daarmee verkleint u de kans dat een authentication bypass uitgroeit tot diefstal en verdere compromittatie.
Bron: https://thehackernews.com/2026/10/cisa-urges-immediate-ivanti-connect.html
