Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft vrijdag twee beveiligingsfouten die Ivanti Connect Secure (ICS) treffen toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, na actieve exploitatie in het wild.
De kwetsbaarheden zijn hieronder vermeld –
- CVE-2026-111357 (CVSS-score: 8.8) – een kwetsbaarheid door ontbrekende authenticatie voor een kritieke functie die een lokaal geauthenticeerde aanvaller in staat kan stellen zijn privileges te escaleren.
- CVE-2026-118527 (CVSS-score: 4.3) – een kwetsbaarheid in de generatie van voorspelbare nummers of identificatoren die een extern geauthenticeerde aanvaller kan toestaan bestanden met door de aanvaller gecontroleerde inhoud naar een bekende locatie op de schijf te uploaden.
Het is vermeldenswaard dat deze beveiligingsfouten deel uitmaken van een exploitketen die eerder deze maand door Volexity werd beschreven als geweaponiseerd in combinatie met een authenticatie-omzeilingsfout (CVE-2026-104935, CVSS-score: 8.6) door een voorheen niet-gedocumenteerde dreigingsactor die UTA0576 wordt genoemd. CVE-2026-104935 werd op 13 oktober 2026 aan de KEV-catalogus toegevoegd.
“Deze exploitketen combineerde een authenticatie-omzeiling, een remote code execution (RCE) en een privilege-escalatie kwetsbaarheid om niet-geauthenticeerde rootniveau-code-uitvoering te bereiken,” aldus Volexity.
In tegenstelling tot andere aanvallen die dergelijke fouten doorgaans misbruiken om web shells of malware te plaatsen, is waargenomen dat UTA0576 de kwetsbaarheden gebruikte om referenties en beperkte Active Directory-metadata te extraheren; hostreconnaissance uit te voeren; en te zoeken naar beheerderswachtwoorden en BitLocker-herstelcodes.
Ten tijde van de publieke bekendmaking meldde Ivanti dat het bezig was met het ontwikkelen van fixes voor de in de exploitketen gebruikte privilege-escalatie kwetsbaarheid. Patches voor zowel CVE-2026-111357 als CVE-2026-118527 zijn nu beschikbaar in de volgende versies van ICS –
- 25.1.1.2 en eerdere versies (opgelost in 25.1.1.3)
- 22.8R2.5 en eerdere versies (opgelost in 22.8R2.6)
“Ten tijde van de ontdekking van de exploitatie had Ivanti een fix ontwikkeld voor CVE-2026-104935 die al in QA zat voor ondersteunde versies, en we hebben de beslissing genomen om het niet te vertragen om klanten een oplossing te bieden die het primaire exploitatiepad oploste toen de LPE werd ontdekt,” legde Ivanti uit.
“Daarom lag onze focus aanvankelijk op de openbaarmaking van CVE-2026-104935 en het zo snel mogelijk bieden van bescherming voor onze klanten.”
Het bedrijf merkte ook op dat een deel van deze kwetsbaarheid werd ontdekt als onderdeel van zijn productbeveiligingsprogramma en in de juli-release 25.1.3.0 was gepatcht. Men werkte eraan die fix terug te porten naar andere ondersteunde versies toen exploitatie-activiteit plaatsvond.
De nieuwste release verhelpt alle kwetsbaarheden die aan elkaar geketend en in het wild werden geëxploiteerd. Agentschappen van de Federal Civilian Executive Branch (FCEB) moeten de fixes voor CVE-2026-111357 toepassen vóór 2 november 2026 en voor CVE-2026-118527 vóór 13 november 2026.
