De Amerikaanse CISA heeft twee nieuwe kwetsbaarheden in Ivanti Connect Secure (ICS) toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Dat gebeurde nadat er actieve uitbuiting in het wild was vastgesteld. Volgens de beschikbare informatie maakt de aanval deel uit van een Ivanti Connect Secure keten waarmee aanvallers uiteindelijk root-level code-uitvoering kunnen bereiken.
Voor organisaties die ICS gebruiken betekent dit vooral één ding: ga na welke versie u draait, en zorg dat u de beschikbare patches tijdig toepast. Wacht niet tot een volgende melding, want de misbruiksignalen zijn al aanwezig.
Wat CISA nu meldt over de Ivanti Connect Secure keten
CISA verwijst naar twee ICS-kwetsbaarheden die aan de KEV-lijst zijn toegevoegd. Ze hebben elk een eigen CVSS-score en impact, maar het belangrijkste is dat ze zijn aangetroffen als onderdeel van een bredere exploitketen.
De twee kwetsbaarheden zijn:
- CVE-2026-111357 (CVSS 8.8): een missing authentication voor een kritieke functie. Dit kan volgens de toelichting leiden tot privilege-escalatie door een lokaal geauthenticeerde aanvaller.
- CVE-2026-118527 (CVSS 4.3): een probleem met voorspelbare nummers of identifiers. Daarmee kan een remote geauthenticeerde aanvaller bestanden uploaden met inhoud die de aanvaller beheerst, naar een bekende locatie op disk.
Hoewel de CVSS-scores verschillen, is de combinatie relevant omdat aanvallers de zwaktes gebruiken om verder te komen in hun proces richting root-level toegang.
Waarom het om een keten gaat (en niet om één losse bug)
De broninformatie beschrijft dat de exploitketen eerder deze maand door Volexity is gedocumenteerd. Daarbij werd de aanval gekoppeld aan een eerder gemelde bypass-zwakte: CVE-2026-104935 (CVSS 8.6). Deze authenticatie-bypass is een cruciale eerste stap in wat uiteindelijk leidt tot unauthenticated root-level code execution.
In de beschrijving wordt de keten als volgt samengevat: de aanvaller combineert een authentication bypass, vervolgens een remote code execution (RCE) en daarna een privilege-escalation kwetsbaarheid. Dat geheel resulteert in root-level code-uitvoering zonder dat de aanvaller normaal geauthenticeerd hoeft te zijn.
Wat aanvallers met ICS doen in de praktijk
Het opvallende aan de observaties is dat de aanval niet alleen gericht lijkt op het neerzetten van klassieke payloads zoals web shells of malware. In plaats daarvan is er waargenomen dat UTA0576 de toegang benut om onder meer:
- credentials en beperkte Active Directory-metadata te extraheren;
- host-reconnaissance uit te voeren;
- te zoeken naar admin-wachtwoorden en BitLocker recovery keys.
Met andere woorden: de aanvallers gebruiken de Ivanti Connect Secure keten om daarna verder te landen in het netwerk en het spel door te spelen voor langere tijd.
Beschikbare patches: welke versies moeten worden bijgewerkt
Ivanti geeft aan dat patches beschikbaar zijn voor de getroffen ICS-componenten in specifieke releases. U kunt dit alleen goed afhandelen als u uw huidige versienummer exact vergelijkt met de fix-versies.
Concreet zijn de reparaties beschikbaar in:
- 25.1.1.2 en eerder: opgelost in 25.1.1.3
- 22.8R2.5 en eerder: opgelost in 22.8R2.6
De tijdlijn rond fixes is volgens de toelichting ook belangrijk. Ivanti zegt dat men al bezig was met het ontwikkelen van een fix voor de privilege-escalation kwetsbaarheid die in de exploitketen werd gebruikt. Daarnaast is er aangegeven dat bij eerdere disclosurebesluiten de focus lag op het snel oplossen van het belangrijkste aanvallingspad.
Deadline voor federale organisaties (en waarom u die moet gebruiken als intern signaal)
Voor Federal Civilian Executive Branch (FCEB)-agentschappen gelden expliciete verplichtingen om de fixes door te voeren. De genoemde termijnen zijn:
- CVE-2026-111357: uiterlijk 2 november 2026
- CVE-2026-118527: uiterlijk 13 november 2026
Ook als u niet onder deze overheidsregeling valt, is dit een handig signaal. In de praktijk betekent KEV-misbruik dat aanvallen vaak doorlopen zolang er systemen staan zonder patch of met onvolledige hardening.
Wat u nu kunt doen: praktische checklist
Om de Ivanti Connect Secure keten te breken, heeft u vooral controle nodig over drie dingen: versiebeheer, patching en detectie. Hieronder een compacte aanpak die u direct kunt oppakken.
1) Inventariseer alle ICS-instances
Start met een lijst van alle Ivanti Connect Secure systemen binnen uw omgeving, inclusief HA-opstellingen. Noteer de exacte versie, of er sprake is van management- of remote toegangsrollen, en welke subnetten geraakt kunnen worden.
2) Patch volgens de genoemde fixed releases
Vergelijk uw huidige versie met de fixversies die in de broninformatie staan. Werk bij naar 25.1.1.3 of 22.8R2.6 (afhankelijk van uw situatie). Zorg dat ook wachtrij- of standby-systemen worden meegenomen.
3) Controleer op tekenen van post-exploit activiteiten
Omdat de waargenomen aanvallen gericht waren op credential access, host-reconnaissance en zoeken naar admin-informatie en BitLocker recovery keys, is het verstandig om logs te bekijken rond authenticatie, bestandsactiviteiten en eventuele ongebruikelijke beweging in laterale richtingen.
4) Koppel uw incidentproces aan release- en KEV-informatie
De KEV-status is een goede trigger om uw interne releasecyclus te versnellen. Leg vast hoe u KEV-updates vertaalt naar een prioriteitenlijst, inclusief verificatie dat alle getroffen systemen werkelijk gepatcht zijn.
Relatie met andere recente kwetsbaarheids-incidenten
Deze case past in een breder patroon: aanvallen die starten met een systeem- of platformzwakte en vervolgens via een keten doorschuiven naar zwaardere doelen. Dat ziet u ook terug in andere berichten over misbruik van kwetsbaarheden en escalatiepaden.
Ter verdieping over exploitketens en hoe organisaties remediatie praktisch aanpakken, kunt u bijvoorbeeld kijken naar Veilige security-remediatie: Observe, Prove, Act. Voor context over hoe netwerkcomponenten en externe toegang kunnen meespelen bij grootschalige dreigingen is Network-layer DDoS stijgt sterk ook relevant, al gaat die post over een ander type impact.
Conclusie
De melding van CISA over de Ivanti Connect Secure keten laat zien dat aanvallers niet alleen bugs vinden, maar ze ook combineren tot een werkend aanvalspad. Met CISA op de hoogte van actief misbruik en Ivanti met patches voor specifieke releases is de verwachting dat de dreiging doorloopt zolang er systemen niet zijn bijgewerkt.
Dus: inventariseer uw versies, patch naar de genoemde fixed releases en controleer op verdachte activiteiten. Door de keten te onderbreken, voorkomt u dat aanvallers van toegang naar root-level code-uitvoering kunnen opschuiven.
Bron: https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html
