Ivanti Connect Secure: zero-day geeft root, patch nu

Gebruikt jouw bedrijf of IT-partner Ivanti Connect Secure als VPN? Dan moet je vandaag controleren of de update van 13 oktober erop staat. Het lek CVE-2026-104935 wordt al misbruikt en laat een aanvaller zonder wachtwoord code uitvoeren. Een derde lek uit dezelfde aanvalsketen is nog niet gepatcht.

In het kort

CVE-2026-104935 (CVSS 8.6) in Ivanti Connect Secure is een authenticatie-omzeiling die tot code-uitvoering leidt. Aanvallers combineerden het met twee andere lekken voor root-toegang, zelfs op een toestel dat volledig gepatcht leek (bron: Volexity, BleepingComputer).
Het wordt al misbruikt, vermoedelijk sinds 1 tot 3 oktober. CISA nam het op 13 oktober op in de KEV-catalogus (bron: The Register, The Hacker News).
Ivanti bracht op 13 oktober patches uit. Een derde lek, een privilege-escalatie, wacht nog op een fix (bron: Volexity, The Register).

Wat is er precies aan de hand?

Een VPN-toestel zoals Connect Secure staat per definitie open op het internet. Wie erin slaagt, zit vlak bij je interne netwerk.

Beveiligingsbedrijf Volexity onderzocht een toestel dat volledig gepatcht was en toch gehackt bleek. De aanvaller, door hen UTA0576 genoemd, koppelde drie lekken aan elkaar. Samen gaf dat toegang als root, zonder login.

Volgens de bronnen haalde de aanvaller opgeslagen domeinreferenties op en bevroeg hij Active Directory. Hij zocht ook naar lokale beheerderswachtwoorden en BitLocker-herstelsleutels. Er werd geen malware of webshell achtergelaten, wat opsporen moeilijk maakt.

Ninja tip

Ivanti’s eigen Integrity Checker Tool ziet deze aanval volgens Volexity niet, omdat de code enkel in het geheugen wordt aangepast. “De scan is schoon” is hier dus geen bewijs dat je veilig bent.

Hoe staat het met de patch?

Gepatcht: CVE-2026-104935. Ivanti bracht de update uit op 13 oktober 2026.
Nog niet gepatcht: een privilege-escalatie in dezelfde keten. Ivanti zegt dat de fix in een volgende release komt.
Versies: de bronnen noemen niet allemaal dezelfde buildnummers. Controleer de officiële Ivanti-advisory voor jouw tak en installeer de nieuwste build.

Wat doe je vandaag?

Stappen voor vandaag

Installeer de nieuwste build

Neem de versie uit de Ivanti-advisory voor jouw release-tak.
Beperk de toegang

Beheerinterfaces horen niet open op het internet. Sta enkel bekende adressen toe.
Zoek naar sporen

Controleer op onverwachte aanmeldingen, vreemde verzoeken en wijzigingen in de logs. Vraag hulp als je twijfelt.
Wissel referenties

Was het toestel open tijdens de aanvalsperiode? Wissel dan VPN-, domein- en beheerderswachtwoorden.

Wat betekent dit voor jou als KMO in de Kempen?

Veel KMO’s hebben nooit zelf voor Ivanti gekozen. Hun IT-partner of een oudere installatie doet dat wel. Vraag het dus na.

Veelgestelde vragen

Is mijn bedrijf getroffen als we Ivanti Connect Secure gebruiken?

Niet noodzakelijk, maar de aanvallen begonnen begin oktober, nog voor de patch bestond. Installeer de update en laat je toestel controleren op sporen van inbraak.

Is patchen genoeg?

Nee. Een patch verwijdert geen indringer die er al in zit. Bovendien is een derde lek uit dezelfde aanvalsketen nog niet gepatcht, dus beperk ook de toegang tot het toestel.

Ik heb een VPN van een andere leverancier. Wat nu?

Dit lek geldt enkel voor Ivanti Connect Secure. Het patroon geldt voor alle VPN's en firewalls: houd ze up-to-date en zet beheerpagina's niet open op het internet.

Onze mening

Het is alweer een toestel aan de rand van het netwerk dat aangevallen wordt voor er een patch is. Eerder deze maand waren dat ook Citrix, Fortinet en Cisco. De les blijft dezelfde: weet welke toestellen je hebt, en zorg dat iemand ze binnen enkele dagen kan bijwerken.

Wat wij erover vinden: een VPN die je niet kan patchen, is een open deur. Wie dat niet intern kan opvolgen, laat het best door een partner doen.

Wat betekent dit voor jou?

Draai je Ivanti Connect Secure? Installeer de update van 13 oktober.
Patchen volstaat niet. Zoek ook naar sporen van inbraak.
Een derde lek in de keten is nog niet gepatcht, dus beperk de toegang.
Wissel referenties als het toestel open stond.

Wil je weten of je VPN en firewall op orde zijn? Neem contact op met CyberNinja en we bekijken samen je blootstelling.

Bronnen

A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days - Volexity
Ivanti warns of Connect Secure zero-day exploited in attacks - BleepingComputer
Ivanti patches Connect Secure zero-day after researchers confirm in-the-wild attacks - The Register
Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far - The Hacker News
Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) - Rapid7

Beeldverantwoording

hero.webp - CyberNinja.be, eigen werk