Beveiligingsonderzoekers van Volexity hebben gemeld dat aanvallers Ivanti Connect Secure 0-days hebben gecombineerd om controle over een VPN-appliance te krijgen zonder in te hoeven loggen. In de keten zaten drie zero-day kwetsbaarheden: twee daarvan zijn inmiddels gepatcht, maar voor de derde fix wacht men nog.
Volgens Volexity werd de aanval onderzocht op één klantinstallatie. De situatie laat zien waarom organisaties hun perimetercomponenten—zoals VPN-appliances—niet mogen zien als ‘set-and-forget’, maar continu moeten bijwerken en controleren.
Wat is er ontdekt over de aanvalsketen?
Volexity stelt dat de aanvaller drie kwetsbaarheden misbruikte om opdrachten met root-rechten uit te voeren. De keten startte zonder authenticatie—dus zonder login—en bouwde daarna op via een privilege-escalatie.
De aanval kwam aan het licht nadat Volexity de kwetsbaarheden eerder had gerapporteerd aan Ivanti. De organisatie koppelt de activiteit aan een actor die zij UTA0576 noemen. De exploit zou al op 3 oktober zijn gestart en de onderzoekers onderzochten daarna een incident op een toestel.
Welke kwetsbaarheden waren onderdeel van de 0-days?
De eerste twee problemen worden samen aangeduid als één scenario: een authentication bypass en een remote code execution. In totaal vallen deze onder CVE-2026-104935. Daarmee kon een aanvaller code laten uitvoeren onder het account van de cgi-server op de appliance.
Daarna zorgde de derde zero-day voor een stap omhoog in privileges: een privilege escalation die de impact verhoogt naar root op het systeem. Over het risico van alleen die derde stap op een toestel waar de eerste twee al zijn gepatcht, geeft de rapportage geen uitsluitsel.
Welke versies lopen risico (volgens het CVE-overzicht)?
Ivanti heeft in het CVE-record aangeven welke Ivanti Connect Secure 0-days van toepassing zijn. Kort samengevat:
- Affected: Connect Secure voor versie 25.1.3.0
- Niet betroffen: versie 22.7R2.14 of ouder
- Als niet beïnvloed vermeld: 22.8R2.5, 25.1.3.0 en 25.1.3.1
Let op: de release notes van 25.1.3.0 dateren van juli 2026. Klanten die al op die versie zitten, vallen daardoor buiten de exacte range die in het CVE-record wordt genoemd.
Wat heeft Ivanti al gepatcht en wat nog niet?
Ivanti heeft fixes vrijgegeven voor twee van de drie kwetsbaarheden. Tegelijk waarschuwt het bedrijf dat klanten met getroffen versies “act immediately” moeten ondernemen.
De derde kwetsbaarheid—die voor privilege-escalatie naar root zorgt—staat nog open. Volexity geeft aan dat Ivanti werkt aan een oplossing die “in de toekomst” komt, naar verwachting binnen de komende weken. Ivanti meldde bovendien dat er sprake is van beperkte exploitatie in het wild.
Waarom kan ‘integrity checking’ dit missen?
Ivanti raadt aan om een Integrity Checker Tool regelmatig te draaien. Volexity stelt echter dat deze tool de aanvalsketen niet detecteert, omdat de exploit bibliotheekcode in memory wijzigt en de configuratiegegevens die worden aangepast, terugzet.
Daarnaast zou de aanvaller stappen hebben gezet om verborgen te blijven voor de manier waarop de tool controles uitvoert. Dat betekent: zelfs als een integrity check ‘goed’ lijkt, kan een incident toch zijn voorgevallen. Daarom blijft forensisch onderzoek belangrijk wanneer er signalen zijn.
Welke aanwijzingen wijzen volgens Volexity op compromis?
Volexity bevestigt dat het vaststellen van een mogelijke compromittering forensisch onderzoek vereist, inclusief network forensics en memory forensics. In het onderzochte incident werden onder meer de volgende kenmerken gerapporteerd:
- URL-pad:
/dana-na/auth/url_default/welcome.cgi, in hoge aantallen aangevraagd - HTTP-header:
X-DSCGI-PATHbij die aanvragen, met een waarde die niet overeenkomt met het URL-pad - Directory:
/data/.icscap/ - IP-adres:
108.165.147[.]64, het systeem waarmee de aanvaller opereerde
Op de betrokken appliance zou de aanvaller verder ook gestolen credentials hebben meegenomen, inclusief LDAP-domeinreferenties. Daarna zou de actor Active Directory hebben doorzocht op wachtwoorden en password-spraying hebben uitgevoerd tegen de beschikbare accounts.
Is er een backdoor of webshell achtergelaten?
Volgens Volexity is er in het onderzochte geval geen permanente backdoor of webshell aangetroffen. Ook zou de aanvaller de volledige exploitketen opnieuw hebben gedraaid voor elke opdracht die hij uitvoerde.
Dat patroon—herhalen per actie—maakt detectie soms lastig, omdat de activiteit minder ‘blijvend’ is. Tegelijk maakt het de noodzaak van snelle updates en consistente monitoring niet kleiner.
Praktische impact voor organisaties
Voor organisaties met een Ivanti Connect Secure omgeving is de belangrijkste boodschap simpel: zorg dat de toestellen up-to-date zijn voor de reeds gepatchte componenten en neem maatregelen om te voorkomen dat de keten opnieuw kan worden ingezet.
Daarnaast is het verstandig om niet alleen op tools te vertrouwen die integriteit of bekende indicatoren controleren. Wanneer er afwijkende aanvragen richting de management- of auth-paden te zien zijn, of als er tekenen zijn van credential-diefstal en later authenticatiegedrag binnen de domeinomgeving, dan is nader onderzoek op zijn plaats.
Tot slot geldt dat upgrade niet automatisch garandeert dat eerder verkregen toegang volledig verdwijnt. Zowel Ivanti als Volexity geven in deze rapportage geen expliciet antwoord op de vraag of updaten toegang weghaalt die al was opgebouwd.
Meer updates rond andere Ivanti producten
In dezelfde publicatie bespreekt Ivanti ook fixes voor twee andere producten: Xtraction en Neurons Patch for Intune. Daarvan zegt Ivanti dat het niet op de hoogte is van misbruik in het wild.
De gerapporteerde kwetsbaarheden krijgen van Ivanti scores van respectievelijk 9.9/10 voor CVE-2026-106042 (Xtraction vóór versie 2026.4) en 9.9/10 voor CVE-2026-109412 (Neurons Patch for Intune).
Vergelijkbare incidenten: waarom ketenaanvallen tellen
Dit soort aanvallen draait niet om één ‘los’ lek, maar om het combineren van meerdere zwakheden in één lopende aanval. Dat zie je ook terug in andere berichtgeving over perimeter- en supply-chain risico’s, zoals eerder gemelde exploitketens en misbruik van infrastructuurcomponenten.
Als je wilt doorlezen hoe misbruik van hulpmiddelen en omgevingen kan escaleren, is dit relevant: Docker Hub bug: één gebruiker kon tokens misbruiken. Ook daarbij ging het om het effect dat ontstaat wanneer toegang of privileges verkeerd worden afgedwongen.
Conclusie
De melding over Ivanti Connect Secure 0-days schetst een helder scenario: een aanvaller combineerde een authentication bypass en remote code execution met een privilege escalation om uiteindelijk root-toegang te bereiken, zonder login. Ivanti heeft voor de eerste twee kwetsbaarheden inmiddels patches uitgegeven, terwijl de derde fix nog volgt.
Voor beheerders is nu het moment om snel te controleren welke versies draaien, direct de beschikbare updates toe te passen en alert te zijn op netwerk- en omgevingsindicatoren. En wanneer er verdenking is van compromis: vertrouw niet uitsluitend op integrity tools, maar kies voor forensisch onderzoek dat ook memory en netwerkverkeer omvat.
Bron: https://thehackernews.com/2026/10/attacker-chains-three-ivanti-connect.html
