Ivanti heeft een zero-day-kwetsbaarheid verholpen in Connect Secure, de veelgebruikte VPN-appliance waarmee organisaties medewerkers op afstand toegang geven tot hun bedrijfsnetwerk. Dat meldt het NCSC in advisory NCSC-2026-0416, gepubliceerd op 13 oktober 2026 met de hoogste risicoclassificatie van de dienst: zowel de kans op misbruik als de mogelijke schade beoordeelt het NCSC als hoog. Die combinatie, in de advisory aangeduid als [H/H], reserveert het NCSC voor de kleine groep kwetsbaarheden die het zwaarst weegt.
Een kwaadwillende kan de kwetsbaarheid zonder voorafgaande authenticatie misbruiken om willekeurige commando’s uit te voeren op een kwetsbaar systeem. Ivanti meldt zelf op de hoogte te zijn van rapporten dat de fout al als zero-day werd misbruikt, dus nog voordat er een patch beschikbaar was. Een publieke proof-of-concept is er volgens het NCSC nog niet, maar de dienst verwacht dat die op korte termijn verschijnt, wat de kans op grootschalig misbruik vergroot. De advisory noemt geen CVE-nummer; dat volgt vermoedelijk nog via Ivanti’s eigen beveiligingsbulletin, zodra het bedrijf meer details over de fout naar buiten brengt.
Voor Ivanti Connect Secure is dit geen incident op zichzelf. Eerdere zero-days in het product, zoals de geketende kwetsbaarheden die begin 2024 binnen enkele dagen na ontdekking al actief werden misbruikt door een vermoedelijk statelijke actor, en de kwetsbaarheid die begin 2025 tot vergelijkbaar snel misbruik leidde, laten een duidelijk patroon zien. Zodra een fout in deze VPN-appliance bekend wordt, volgt actief misbruik doorgaans al binnen dagen, niet weken. Connect Secure is bovendien een aantrekkelijk doelwit omdat het vanaf het internet bereikbaar moet zijn om zijn werk te doen, en het geeft bij misbruik direct toegang tot interne netwerken, vaak met de rechten die nodig zijn om zich verder te verspreiden.
Organisaties die Connect Secure gebruiken, doen er daarom goed aan de update niet uit te stellen tot een volgende onderhoudsronde. Controleer eerst of de appliance al is bijgewerkt naar de door Ivanti vrijgegeven versie en kijk bij twijfel naar indicatoren van compromittering in de logs, zoals ongebruikelijke uitgaande verbindingen, onverwachte configuratiewijzigingen of nieuwe beheeraccounts. Beperk daarnaast waar mogelijk de bereikbaarheid van het beheerinterface tot een vertrouwd netwerk en controleer of multifactorauthenticatie voor alle externe toegang staat ingeschakeld. Omdat dit al een actief misbruikte zero-day is en geen theoretische kwetsbaarheid, telt hier vooral snelheid. Wie wacht tot er een publieke proof-of-concept is, loopt al achter de feiten aan.
Update 14 oktober: Ivanti heeft de kwetsbaarheid alsnog een CVE-nummer gegeven, CVE-2026-104935, en op dinsdag 13 oktober patches uitgebracht in de versies 22.8R2.5, 25.1.3.0, 25.1.3.1 en 25.1.1.2. Dreigingsonderzoeker Defused meldt dat actief misbruik al sinds minstens 1 oktober loopt, meldt BleepingComputer. Onderzoeksbureau Volexity ziet dat de dreigingsactor UTA0576 de fout sinds 3 oktober combineert met twee andere kwetsbaarheden tot een volledige keten die ongeauthenticeerde aanvallers root-rechten geeft, en daarmee gericht Active Directory-gegevens buitmaakt, waaronder LAPS-wachtwoorden en BitLocker-herstelsleutels. CISA heeft de kwetsbaarheid aan de KEV-catalogus toegevoegd en waarschuwt dat Ivanti’s eigen Integrity Checker Tool mogelijk geen sporen van misbruik detecteert, omdat de aanvallers commando’s alleen in het geheugen uitvoeren. Bij een vermoede compromittering adviseert CISA een volledige factory reset, nieuwe wachtwoorden voor alle accounts en het intrekken en opnieuw uitgeven van certificaten.
Bron: NCSC-NL Advisories, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert u Ivanti Connect Secure als VPN-toegang tot uw netwerk? Wacht niet op een CVE-nummer of publieke proof-of-concept: eerdere zero-days in dit product werden steevast binnen dagen na bekendmaking grootschalig misbruikt. Werk de appliance nu bij en controleer logs op sporen van ongebruikelijke activiteit.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.