Ivanti Connect Secure: Angriffe laufen – jetzt patchen
Eine Lücke in Ivantis VPN-Gateway Connect Secure lässt Angreifer ohne Anmeldung Befehle ausführen, und sie wird bereits ausgenutzt. Welche Versionen betroffen sind, welche Updates schließen und was das Update nicht leistet.
Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor der Veröffentlichung automatisch gegen die unten genannten Quellen geprüft. Die redaktionelle Durchsicht steht noch aus.
Was ist CVE-2026-104935 in Ivanti Connect Secure?
CVE-2026-104935 ist eine Sicherheitslücke in Ivanti Connect Secure, dem VPN-Gateway des Herstellers Ivanti, über die ein Angreifer ohne Anmeldung aus der Ferne Befehle auf dem Gerät ausführen kann. Die US-Cybersicherheitsbehörde CISA beschreibt sie in ihrem Katalog ausgenutzter Schwachstellen (öffnet in neuem Tab) als Umgehung der Authentifizierung durch Vortäuschen einer Identität. Die Fehlerklasse ist dort als CWE-290 geführt.
Die Lücke hat nach CVSS 3 einen Wert von 8,6 von 10 Punkten. Über die Angriffe berichtete im deutschsprachigen Raum heise online am 13. Oktober 2026 (öffnet in neuem Tab); der Hersteller bestätigt dort, dass Angriffe auf verwundbare Connect-Secure-Instanzen laufen. Als Mitentdecker nennt heise das Sicherheitsunternehmen Volexity.
Für ein mittelständisches Unternehmen ist die Lage damit klar: Ein Gerät, das Mitarbeitenden den Zugang ins Firmennetz öffnet, kann von außen übernommen werden, ohne dass der Angreifer ein Passwort kennt. Wer Ivanti Connect Secure selbst betreibt oder von einem Dienstleister betreiben lässt, sollte heute klären, welche Version läuft.
Welche Versionen betroffen sind und welche Updates helfen
Betroffen sind laut Ivanti die Versionen 25.1.1.1, 25.1.2.2 und 22.8R2.4 sowie ältere Versionen. Geschlossen ist die Lücke in den Versionen 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5. Die Version 25.1.3.0 ist bereits im Juli erschienen, die übrigen Updates am 5. Oktober 2026.
Die zeitliche Lücke zwischen den Zweigen ist für Betreiber wichtig. Wer schon im Sommer auf 25.1.3.0 aktualisiert hat, ist gegen diese Lücke geschützt; wer auf einem älteren Zweig geblieben ist, bekam die Korrektur erst Anfang Oktober. Warum die Updates für ältere Firmware später kamen, hat Ivanti nach dem Bericht von heise nicht erklärt.
Maßgeblich ist immer die Versionsangabe in der Verwaltungsoberfläche des Geräts selbst, nicht die Angabe in einem Inventar oder Vertrag. Steht dort eine der betroffenen Versionen oder eine ältere, gehört das Update auf die Liste der Aufgaben dieses Tages.
Warum VPN-Gateways ein bevorzugtes Angriffsziel sind
VPN-Gateways sind ein bevorzugtes Angriffsziel, weil sie zwei Eigenschaften verbinden: Sie sind aus dem Internet erreichbar, und sie vermitteln Zugang ins interne Netz. Wer ein solches Gerät übernimmt, steht nicht mehr vor der Firewall, sondern dahinter.
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt auf seiner Seite zum Schutz von Servern (öffnet in neuem Tab) Schwachstellen in Betriebssystemen und Anwendungen als Eintrittstore für Cyber-Angriffe. Ein VPN-Gateway ist technisch ein spezialisierter Server mit genau diesem Risiko, nur mit einem besonders wertvollen Zugang dahinter.
Hinzu kommt, dass solche Geräte oft einmal eingerichtet und dann selten angefasst werden. Eine Appliance, die jahrelang zuverlässig läuft, fällt im Alltag niemandem auf, bis eine Lücke wie diese gemeldet wird. Feste Zuständigkeiten für Updates sind deshalb wichtiger als das einzelne Update.
Was die Frist der CISA bedeutet
Die CISA hat CVE-2026-104935 am 13. Oktober 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 16. Oktober 2026 gesetzt. Drei Tage sind eine kurze Frist; sie zeigt, wie dringend die Behörde die Lage einschätzt.
Für Unternehmen in Deutschland ist diese Frist rechtlich nicht bindend, sie ist aber ein brauchbarer Maßstab. Der Katalogeintrag verlangt für US-Behörden zusätzlich eine forensische Sichtung betroffener Geräte nach der Richtlinie BOD 26-04. Ob die Lücke bereits für Ransomware-Angriffe genutzt wird, führt der Eintrag als unbekannt.
So prüfen Sie, ob Ihr Gateway betroffen ist
Der erste Schritt ist eine Bestandsaufnahme: Läuft im Unternehmen oder bei einem Dienstleister ein Ivanti Connect Secure, und welche Version zeigt die Verwaltungsoberfläche? Häufig betreibt ein Systemhaus das Gerät, dann gehört die Frage noch heute an den Ansprechpartner dort.
Der zweite Schritt ist das Update auf eine der genannten korrigierten Versionen. Weil das Gerät während des Updates kurz nicht erreichbar sein kann, lohnt eine kurze Ankündigung an die Mitarbeitenden, die im Homeoffice arbeiten. Wer Wartung und Support für seine Systeme fest vergeben hat, sollte prüfen, ob das Gateway ausdrücklich dazugehört.
Der dritte Schritt ist eine Dokumentation: Version vorher, Version nachher, Datum und wer es erledigt hat. Diese Notiz hilft beim nächsten Vorfall und ist ein Nachweis, dass die Lücke zeitnah geschlossen wurde.
Welche Fragen Sie Ihrem IT-Dienstleister jetzt stellen sollten
Viele mittelständische Unternehmen betreiben ihr VPN-Gateway nicht selbst, sondern über ein Systemhaus. Dann ist die wichtigste Maßnahme dieses Tages eine kurze, schriftliche Nachfrage: Läuft bei uns Ivanti Connect Secure, welche Version ist installiert, und wann wurde oder wird das Update auf eine korrigierte Version eingespielt?
Ebenso wichtig ist die zweite Frage: Lief das Gerät vor dem Update mit einer betroffenen Version im Internet, und wurden danach die Protokolle auf Auffälligkeiten geprüft? Eine Antwort wie „wir patchen regelmäßig" beantwortet beides nicht. Gefragt sind ein Datum, eine Versionsnummer und ein Ergebnis der Prüfung.
Die dritte Frage betrifft die Zukunft: Wer meldet sich beim nächsten Eintrag eines eigenen Geräts im Katalog der CISA, und innerhalb welcher Frist? Eine solche Zusage gehört in den Wartungsvertrag. Ohne sie hängt die Sicherheit des Fernzugangs davon ab, dass jemand zufällig die richtige Meldung liest.
Grenze: was das Update nicht leistet
Das Update auf eine korrigierte Version schließt die Lücke, macht ein bereits übernommenes Gerät aber nicht sauber. Wenn Angreifer die Lücke vor dem Update ausgenutzt haben, können Zugangsdaten abgeflossen oder Änderungen am Gerät zurückgeblieben sein, die ein Update nicht entfernt.
Deshalb verlangt die CISA von US-Behörden eine forensische Sichtung und nicht nur das Patchen. Für ein mittelständisches Unternehmen heißt das: Gab es das Gerät mit einer betroffenen Version im Internet, gehören nach dem Update die Protokolle geprüft und die Zugangsdaten der Konten, die über das Gateway angemeldet waren, erneuert.
Ebenso wenig sagt eine geschlossene Lücke etwas über die nächste. VPN-Gateways verschiedener Hersteller tauchen regelmäßig im Katalog der CISA auf. Wer seinen Fernzugang dauerhaft absichern will, braucht neben Updates eine Architektur, in der ein einzelnes übernommenes Gerät nicht das ganze Netz öffnet.
Was der Mittelstand jetzt tun sollte
Kurzfristig gilt: Version prüfen, aktualisieren, bei Verdacht auf frühere Ausnutzung Protokolle sichten und Zugangsdaten erneuern. Wie man vorgeht, wenn Spuren eines Einbruchs auftauchen, beschreibt der Beitrag Website gehackt – was tun; die ersten Schritte lassen sich auf ein übernommenes Gateway übertragen.
Mittelfristig lohnt der Blick auf das Prinzip Zero Trust: Ein Zugang ins Netz gibt dabei nicht automatisch Zugriff auf alles, sondern jede Anwendung prüft selbst. Ein Sicherheitsaudit zeigt, welche Systeme aus dem Internet erreichbar sind und wer für ihre Updates zuständig ist.
Wer seine Anwendungen ohnehin modernisiert, kann prüfen, ob ein klassisches VPN überhaupt noch nötig ist. Eine sauber geplante Cloud-Migration verlagert manche Anwendung dorthin, wo sie ohne Tunnel ins Firmennetz erreichbar ist, mit Anmeldung pro Anwendung statt pro Netz.