Een tot nu toe onbekende aanvallersgroep die onderzoekers UTA0576 noemen, heeft drie afzonderlijke kwetsbaarheden in Ivanti Connect Secure (ICS) aan elkaar geschakeld om zonder geldige inloggegevens met rootrechten op het apparaat te komen. Onderzoeksbureau Volexity documenteerde de keten eerder deze maand en de Amerikaanse CISA voegde er vrijdag 30 oktober twee van de drie lekken aan toe aan de Known Exploited Vulnerabilities-lijst, nadat actief misbruik was vastgesteld.
De keten combineert een authenticatie-omzeiling, een lek voor remote code execution en een kwetsbaarheid voor rechtenverhoging. De authenticatie-omzeiling, CVE-2026-104935 (CVSS 8,6), stond al sinds 13 oktober op de KEV-lijst. Het RCE-lek in de keten krijgt in de berichtgeving geen eigen CVE-nummer genoemd. Nieuw op de lijst staan nu CVE-2026-111357 (CVSS 8,8), een ontbrekende authenticatiecontrole op een kritieke functie waarmee een lokale, al geauthenticeerde aanvaller zijn rechten kan verhogen, en CVE-2026-118527 (CVSS 4,3), het gebruik van voorspelbare identifiers waardoor een geauthenticeerde aanvaller op afstand een eigen bestand op een bekende locatie op de schijf kan plaatsen.
Door deze drie te combineren kan een aanvaller die geen enkele geldige inlogpoging hoeft te doen, uiteindelijk als root code uitvoeren op het apparaat. Opvallend aan de werkwijze van UTA0576 is dat de groep, anders dan bij veel vergelijkbare aanvallen, geen webshells of malware achterlaat. Waargenomen activiteit beperkt zich tot het aftappen van inloggegevens, het verzamelen van beperkte Active Directory-metadata, reconnaissance van het gastsysteem en het actief zoeken naar beheerderswachtwoorden en BitLocker-herstelsleutels.
Getroffen zijn ICS-versies 25.1.1.2 en ouder, gepatcht in 25.1.1.3, en 22.8R2.5 en ouder, gepatcht in 22.8R2.6; beide updates verhelpen zowel CVE-2026-111357 als CVE-2026-118527. Ivanti laat weten dat de patch voor de authenticatie-omzeiling (CVE-2026-104935) al in een QA-traject zat voor ondersteunde versies toen het misbruik werd ontdekt, en bracht die als eerste uit om de belangrijkste aanvalsroute af te sluiten. Een deel van de fix voor het rechtenverhogingslek zat al in de julirelease 25.1.3.0; Ivanti was die fix nog aan het terugporteren naar oudere, ondersteunde versies op het moment dat misbruik werd vastgesteld.
Voor Amerikaanse federale civiele instanties (FCEB) geldt een verplichte deadline: CVE-2026-111357 moet vóór 2 november zijn verholpen, CVE-2026-118527 vóór 13 november. Die verplichting geldt niet voor Nederlandse organisaties, maar de termijnen geven wel aan hoe urgent CISA het risico inschat.
Organisaties met Ivanti Connect Secure in gebruik kunnen het zich niet permitteren om op de reguliere patchcyclus te wachten. Omdat de aanvallers geen sporen in de vorm van malware achterlaten, is patchen alleen ook niet genoeg: controleer logs op ongebruikelijke authenticatiepatronen en wissel voor de zekerheid beheerderswachtwoorden en BitLocker-sleutels die op getroffen systemen toegankelijk waren.
Update: BleepingComputer bevestigt dat CVE-2026-111357 en CVE-2026-118527 ook als zero-days zijn ingezet: aanvallers combineerden ze al sinds minstens 1 oktober met de authenticatie-omzeiling CVE-2026-104935, nog voordat patches beschikbaar waren. Beveiligingsbedrijf Shadowserver telt wereldwijd meer dan 5.000 internet-blootgestelde Connect Secure-instanties; hoeveel daarvan inmiddels zijn bijgewerkt, is niet bekend.
Bron: The Hacker News
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.