Beveiligingsonderzoeker Volexity meldt een ernstig scenario rond Ivanti Connect Secure zero-days. In een aanval ketende een bedreiger drie onbekende kwetsbaarheden in om via de VPN-appliance zonder in te loggen commando’s uit te voeren—uiteindelijk zelfs met root-toegang. Ivanti heeft voor twee van de drie issues inmiddels updates vrijgegeven, maar voor de derde is de fix nog niet uitgerold.
De melding is extra relevant omdat Volexity de activiteit al opmerkte op een apparaat dat op dat moment volledig was gepatcht (versie 22.8R2.4). Ivanti stelt daarnaast dat er sprake is van beperkte exploitatie in het wild. Dit is precies het soort keten waar organisaties met een VPN-edge kwetsbaar blijken zodra één schakel misgaat.
Wat er precies gebeurde: drie kwetsbaarheden in één aanval
Volgens Volexity begon de aanvaller met het misbruiken van twee kwetsbaarheden die samen worden gelinkt aan CVE-2026-104935. De eerste stap draait om een authenticatie-bypass en de tweede om een remote code execution. Samen maakten ze het mogelijk om code uit te voeren onder het account van de cgi-server van de appliance.
De derde kwetsbaarheid—door Volexity beschreven als een privilege-escalation—verhoogde die rechten van de cgi-servergebruiker naar root. Daarmee werd de barrière tussen “toegang via misbruik” en “volledige controle” effectief doorbroken.
Volexity volgt de aanvaller onder de naam UTA0576. De exploitatie startte volgens het rapport op 3 oktober en werd later op 13 oktober door Volexity gerapporteerd aan Ivanti.
Welke Ivanti Connect Secure versies lopen risico
In het CVE-overzicht van Ivanti staan de getroffen versies en uitzonderingen. Kort samengevat: de kwetsbaarheden gelden voor Connect Secure vóór versie 25.1.3.0.
- Aangedaan: Connect Secure before version 25.1.3.0
- Niet aangedaan: versie 22.7R2.14 of ouder
- Vermeld als niet aangedaan: 22.8R2.5, 25.1.3.0 en 25.1.3.1
Opvallend detail: de release notes voor 25.1.3.0 dateren van juli 2026. Klanten die al op die versie zaten, vallen buiten de door het CVE-bestand aangegeven range.
Twee fixes beschikbaar, derde patch “komt later”
Ivanti publiceerde fixes voor twee van de drie onderdelen van de aanval. Over de derde kwetsbaarheid—de privilege escalation—zegt Volexity dat de oplossing nog in een toekomstige release komt, naar verwachting “in de komende weken”.
Cruciaal: Volexity stelt niet dat het specifieke risico van de derde issue al volledig duidelijk is op een toestel waar de eerste twee stappen zijn verholpen. Met andere woorden: patchen helpt, maar tot de laatste fix is uitgerold blijft er een gat in het verdedigingsverhaal.
Integrity Checker Tool mist de keten
Ivanti adviseert klanten om te upgraden en om regelmatig de Integrity Checker Tool te draaien. Volgens Volexity is die tool echter niet effectief tegen deze specifieke aanval.
De reden die Volexity geeft: de exploit verandert bibliotheekcode alleen in het geheugen en herstelt de configuratiedata die wordt aangepast. Daardoor kan de integriteitscheck de sporen missen. Bovendien nam de aanvaller volgens Volexity stappen om detectie door de tool verder te omzeilen.
Hoe kun je een compromis vaststellen?
Volexity benadrukt dat het bevestigen van een mogelijke compromittering een forensisch onderzoek vereist, inclusief netwerk- en geheugenforensics. In het onderzochte incident bleken meerdere indicatoren opvallend.
Voorbeelden van signalen die Volexity noemt:
- URL path:
/dana-na/auth/url_default/welcome.cgi, aangevraagd in grote aantallen - HTTP header:
X-DSCGI-PATH, met een waarde die niet overeenkomt met de URL-path - Directory:
/data/.icscap/ - IP-adres:
108.165.147[.]64(host die de aanvaller gebruikte)
Daarnaast beschrijft Volexity dat de aanvaller in dat incident opgeslagen credentials stal. Ook zocht de aanvaller naar wachtwoorden in Active Directory en voerde password-spraying uit tegen accounts. Het rapport vermeldt dat er geen backdoor of webshell achterbleef.
Volgens het onderzoek herhaalde de aanvaller de volledige exploitketen opnieuw voor elk commando dat hij wilde uitvoeren. Dat helpt om te begrijpen waarom logpatronen en volumetrische signalen belangrijk blijven—zelfs zonder “klassieke” webshell-sporen.
Actiepunten: patchen, controleren en forensisch meekijken
Er is geen “één knop”-oplossing zodra een keten van zero-days is aangetoond, maar organisaties kunnen wel degelijk gericht handelen. Ivanti roept klanten op om onmiddellijk te upgraden en benoemt daarnaast de noodzaak van regelmatige controle via tools.
Omdat de integriteitscheck deze chain kan missen, is het verstandig om naast tooling ook te kijken naar gedragsindicatoren in logging: ongebruikelijke aanroepvolumes van specifieke URL’s, mismatchende headers en verdachte paden of directories. Combineer dat met onderzoek van geheugen-artefacten als er aanwijzingen zijn van misbruik.
Als je in bredere zin wilt kijken naar het verkleinen van aanvalskansen op authenticatie en toegang, sluit dit onderwerp ook aan bij publicaties over Zero Trust en Identity-strategieën. Een VPN is vaak een onderdeel van je toegangspoort; het verdient dus extra bescherming in de hele keten.
Vergelijkbare risico’s: andere patch- en exploitfronten
Deze Ivanti-casus staat niet op zichzelf. In de praktijk blijken VPN-appliances, edge security en applicatieplatformen regelmatig onderdeel van aanvallen waarbij dezelfde “ketenlogica” wordt gebruikt: eerst toegang afdwingen, daarna rechten opschalen of lateraal bewegen.
Ter vergelijking: InfraAlert beschreef eerder hoe CISA waarschuwt voor Ivanti Connect Secure updates. Ook daar lag de focus op het snel doorvoeren van patches, precies omdat exploitatie in het wild niet per definitie lang op zich laat wachten.
Wat we nog niet zeker weten
Volexity geeft aan met lage betrouwbaarheid te beoordelen dat het motief van UTA0576 eerder crimineel is dan spionage. Ook noemen noch Volexity noch Ivanti hoeveel klanten er precies zijn getroffen.
Verder is de vraag of upgraden de al verworven toegang in elk geval ongedaan maakt: Ivanti en Volexity geven daar geen expliciet antwoord. Daarom blijft het nodig om na het patchen alsnog te verifiëren of er sporen van misbruik aanwezig zijn.
Conclusie
De melding rond Ivanti Connect Secure zero-days toont hoe gevaarlijk een aanval kan zijn wanneer meerdere onbekende kwetsbaarheden naadloos worden gecombineerd. Twee onderdelen zijn nu gepatcht, maar Volexity verwacht dat de fix voor de privilege escalation nog volgt. Tot die tijd is het hoogste rendement te halen uit snel upgraden, actief controleren op verdachte patronen en—waar er aanwijzingen zijn—forensisch onderzoek.
Voor organisaties met Connect Secure in productie betekent dit: behandel de updates als urgent, controleer logdata specifiek op de in het onderzoek genoemde indicatoren en neem maatregelen die verder reiken dan alleen een integriteitscheck. Zo verklein je de kans dat een VPN-appliance verandert in een springplank naar volledige systeemcontrole.
Bron: https://thehackernews.com/2026/10/attacker-chains-three-ivanti-connect.html
4 reacties