Ivanti heeft beveiligingsupdates uitgebracht voor twee nieuwe kwetsbaarheden in Ivanti Connect Secure (ICS), de remote access-gateway van het bedrijf. Volgens berichtgeving van BleepingComputer zijn de lekken als zero-days misbruikt in aanvallen die zeker sinds 1 oktober zijn waargenomen. De kwetsbaarheden zijn geregistreerd als CVE-2026-111357 en CVE-2026-118527.
Nieuwe patches voor kwetsbaarheden in aanvalsketen
De twee nu gepatchte fouten werden volgens de bron gecombineerd met een eerder gedichte authenticatie-bypass in Connect Secure, aangeduid als CVE-2026-104935. Ivanti bracht daarvoor vorige maand al updates uit en meldde toen dat het op de hoogte was van beperkte uitbuiting in het wild. Met die eerdere patch werd volgens Ivanti de belangrijkste aanvalsroutes aangepakt.
CVE-2026-111357 is omschreven als een kwetsbaarheid met hoge ernst die privilege-escalatie mogelijk maakt. CVE-2026-118527 maakt het voor een geauthenticeerde aanvaller mogelijk om bestanden te uploaden naar een ongepatcht apparaat. In combinatie met de eerder gepatchte authenticatie-bypass konden aanvallers de kwetsbaarheden volgens onderzoekers ketenen.
Ivanti gaf in een bijgewerkt beveiligingsadvies aan dat de fix voor CVE-2026-104935 al in kwaliteitscontrole zat voor ondersteunde versies toen de aanvullende privilege-escalatie werd ontdekt. Het bedrijf koos er volgens die toelichting voor om de oplossing voor de primaire exploitroute niet uit te stellen.
Onderzoekers zagen misbruik vanaf begin oktober
Beveiligingsbedrijf Volexity, dat de kwetsbaarheid ontdekte, meldde eerder dat een dreigingsactor met de aanduiding UTA0576 CVE-2026-104935 sinds ten minste 3 oktober combineerde met twee andere fouten. Het doel was volgens Volexity om zonder authenticatie code met rootrechten uit te voeren op volledig gepatchte ICS-apparaten.
Een opvallend onderdeel van de waargenomen werkwijze is dat de aanvaller volgens Volexity geen malware of webshell plaatste. In plaats daarvan werd het apparaat opnieuw uitgebuit voor elke opdracht die werd uitgevoerd. Ook zouden logbestanden zijn aangepast om sporen te verhullen en Ivanti’s Integrity Checker Tool te ontwijken.
Threat-intelligencebedrijf Defused bevestigde volgens BleepingComputer de bevindingen van Volexity en zag de eerste tekenen van actieve uitbuiting van CVE-2026-104935 vanaf 1 oktober.
CISA zet eerder lek op lijst met actief misbruikte kwetsbaarheden
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft CVE-2026-104935 toegevoegd aan de catalogus met actief misbruikte kwetsbaarheden. Amerikaanse federale overheidsinstanties moesten hun systemen volgens de bron uiterlijk vrijdag patchen.
Internetwaakhond Shadowserver volgt inmiddels meer dan 5.000 via internet bereikbare Ivanti Connect Secure-instanties. Uit de beschikbare informatie blijkt niet hoeveel daarvan al zijn bijgewerkt of anderszins beschermd tegen de lopende aanvallen.
Waarom dit relevant is
Bevestigd nieuws: Ivanti heeft updates uitgebracht voor twee extra kwetsbaarheden in Connect Secure die in een aanvalsketen zijn gebruikt. De aanvallen zijn volgens meerdere beveiligingspartijen sinds begin oktober zichtbaar. De eerder gepatchte authenticatie-bypass CVE-2026-104935 staat inmiddels ook op de CISA-lijst voor actief misbruikte kwetsbaarheden.
Analyse: Remote access-gateways zoals Ivanti Connect Secure zijn aantrekkelijke doelwitten omdat ze vaak direct aan internet hangen en toegang bieden tot interne bedrijfsnetwerken. Een aanvalsketen waarbij authenticatie kan worden omzeild en vervolgens hogere rechten worden verkregen, vergroot het risico aanzienlijk. Dat onderzoekers bovendien melden dat de aanvaller commando’s uitvoerde zonder permanente malware te plaatsen, maakt detectie en forensisch onderzoek lastiger.
De zaak past in een breder patroon waarbij Ivanti-producten regelmatig doelwit zijn van zero-day-aanvallen. In de afgelopen jaren patchte Ivanti meerdere actief misbruikte kwetsbaarheden in Connect Secure, waaronder CVE-2024-21887, CVE-2023-46805, CVE-2024-21893, CVE-2025-0282 en CVE-2025-22457. Volgens de bron heeft CISA sinds november 2021 in totaal 38 Ivanti-kwetsbaarheden als actief misbruikt aangemerkt, waarvan 12 ook bij ransomware-aanvallen zijn gebruikt.
Bron en verdere informatie
Meer details staan in het oorspronkelijke bericht van BleepingComputer
