Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft dinsdag organisaties dringend verzocht onmiddellijk hun Ivanti Connect Secure (ICS) appliances en implementaties bij te werken naar de nieuwste versie, na de openbaarmaking van een actief misbruikte kwetsbaarheid.
De beveiligingsfout, geregistreerd als CVE-2026-104935 (CVSS-score: 8.6), betreft een authenticatie-omzeiling en treft ICS-versies 25.1.1.1 en eerder, 25.1.2.2 en eerder, en 22.8R2.4 en eerder. Dit kan een externe, niet-geauthenticeerde aanvaller in staat stellen willekeurige opdrachten uit te voeren.
“CISA is zich ervan bewust dat cyberdreigingsactoren deze zero-day-kwetsbaarheid voor het omzeilen van authenticatie uitbuiten, die externe, niet-geauthenticeerde uitvoering van willekeurige opdrachten mogelijk maakt, om credentialdiefstal en data-exfiltratie uit te voeren,” aldus de instantie.
De instantie heeft de kwetsbaarheid sindsdien toegevoegd aan haar Known Exploited Vulnerabilities (KEV)-catalogus, waardoor Federal Civilian Executive Branch (FCEB)-instanties verplicht zijn de fixes toe te passen vóór 16 oktober 2026.
CISA raadt klanten van getroffen ICS-implementaties ook aan Ivanti’s Connect Secure Upgrade and Migration Compatibility Guide te raadplegen voor patchinstructies en waarschuwt dat versie 22.8 op 31 januari 2027 end-of-life bereikt.
“Organisaties die willen vaststellen of zij zijn gecompromitteerd, moeten netwerk- en geheugenforensisch onderzoek uitvoeren om bewijzen van misbruik te identificeren,” voegde de instantie toe.
Indien een compromittering wordt gedetecteerd, adviseert CISA organisaties de volgende acties uit te voeren –
- Maak een back-up van de applianceconfiguratie.
- Voer een fabrieksreset uit en upgrade het apparaat naar de nieuwste versie.
- Voor cloud- en virtuele systemen: bouw de virtuele instantie opnieuw op en upgrade naar de nieuwste versie.
- Herstel de applianceconfiguratie vanaf de in stap 1 gemaakte back-up.
- Reset wachtwoorden voor alle accounts, inclusief domein-, administrator- en lokale accounts. Intrek en vervang opgeslagen certificaten; reset opgeslagen API-sleutels en licentieserverreferenties.
De ontwikkeling volgt op een verklaring van Previdian dat het op 14 oktober 2026 105 exploitatiepogingen heeft waargenomen gericht op zijn honeypot-sensoren. De aanvalspogingen zouden afkomstig zijn van 50 unieke IP-adressen geolokaliseerd in Singapore en de VS. Sommige van de waargenomen IP-adressen zijn hieronder vermeld –
- 216.73.160[.]59
- 216.73.160[.]61
- 216.73.160[.]210
- 45.8.19[.]111
Volgens Previdian-oprichter en CEO Ryan Dewhurst gebruiken dreigingsactoren de X-DSCGI-PATH-header om een interne CGI-handler te bereiken en Perl-scripts te uploaden die als ZIP-bestanden zijn verpakt. De scripts geven unieke markers terug die bepalen of remote code execution is geslaagd.
“We zien gecoördineerde pogingen om deze Ivanti-kwetsbaarheid te misbruiken, maar de tot nu toe vastgelegde payloads testen voornamelijk op code-executie in plaats van het uitrollen van malware of het compromitteren van het apparaat,” vertelde Dewhurst aan The Hacker News. “Echter, volledig ‘weaponized’ misbruik zal waarschijnlijk in de komende uren en dagen volgen.”
In een afzonderlijk rapport meldde Volexity dat het de exploitatie van CVE-2026-104935 voor het eerst observeerde op 3 oktober 2026, waarbij een eerder niet-geïdentificeerde dreigingsactor, gedoopt UTA0576, deze kwetsbaarheid samen met een privilege-escalatiekwetsbaarheid gebruikte om niet-geauthenticeerde root-level code-executie te bereiken. UTA0576 wordt beoordeeld als gedreven door criminele motieven in plaats van spionage.
Na succesvolle exploitatie zou de dreigingsactor brede post-exploitatie-activiteiten hebben uitgevoerd, waaronder het extraheren van credentials die op de ICS VPN-appliance waren opgeslagen, het exfiltreren van beperkte Active Directory-metadata, het inzetten van een Kerberos-tool die Kerberoast-aanvallen en credentialtests kan uitvoeren, hostreconnaissance, LDAP-pakketcaptatie en het plaatsen van een Python LDAP-tool om naar administratorwachtwoorden en BitLocker-herstelcodes te zoeken.
“De teruggevonden payloads tonen bewuste pogingen om kwaadaardige activiteiten te verbergen door selectieve aanpassing van logs, verwijdering van tijdelijke uitvoeringsartefacten en het herstellen van gewijzigde systeemstatus,” zeiden Volexity-onderzoekers Charlie Gardner, Sean Koessel en Steven Adair.
“UTA0576 zette geen malware of webshell in. In plaats daarvan her-exploiteerde de dreigingsactor het apparaat voor elke opdracht die het uitvoerde en manipuleerde logs om sporen uit te wissen, waardoor Ivanti’s Integrity Checker Tool werd omzeild.”
Threat-intelligencebedrijf Defused Cyber heeft ook actief misbruik bevestigd en verklaarde dat zijn lokaasservers “pre-disclosure exploitatie die wij beoordelen als CVE-2026-104935” in het wild vingen vanaf 1 oktober 2026.
“De oorzakelijke fout van de kwetsbaarheid is ongelooflijk eenvoudig: een enkele aanvraag met een speciaal vervaardigde ‘X-DSCGI-PATH’-header is alles wat nodig is om authenticatie te omzeilen en toegang te krijgen tot gevoelige functionaliteit die anders beperkt zou moeten zijn,” zei Yordan Ganchev, principal threat intelligence specialist bij watchTowr.
“Ivanti Connect Secure is al lange tijd een populair doelwit voor aanvallers, inclusief ransomware-groepen, en voegt zich bij 14 andere Ivanti Connect Secure / Pulse Connect Secure-kwetsbaarheden op de CISA KEV-lijst. Gezien de geschiedenis verwachten we dat exploitatie ongelooflijk snel zal verschuiven van gerichte aanvallen naar willekeurige massale uitbuiting.”
Het is essentieel dat organisaties die ICS draaien onmiddellijk patchen en hun appliances onderzoeken op tekenen van compromittering, waaronder het identificeren van inkomende verzoeken met een “X-DSCGI-PATH”-header.
