CVE-2026-118527: Ivanti Connect Secure – Generierung vorhersehbarer Zahlen oder Identifikatoren – Sicherheitslücke

CISA gibt an, dass es CVE-2026-104935 am 13. Oktober 2026 und CVE-2026-111357 sowie CVE-2026-118527 am 30. Oktober 2026 in seinen KEV-Katalog aufgenommen hat[1]. CVE Security berichtet, dass Bundesbehörden eine Sanierungsfrist von 13. November 2026[2] einzuhalten haben. Der Katalog der CISA besagt, dass die Sicherheitslücke "es einem remote authentifizierten Angreifer ermöglicht, Dateien mit vom Angreifer kontrollierten Inhalten an einen bekannten Ort auf der Festplatte hochzuladen."[3] Nach Angaben von GBHackers bewertete Ivanti CVE-2026-118527 mit 4,3 für vorhersehbare Dateinamenuploads[4]. SecurityOnline berichtet, dass Ivanti erklärte: "Uns ist bekannt, dass eine begrenzte Anzahl von Kunden von einer Ausnutzung betroffen ist"[5], wenn die drei CVEs miteinander verkettet sind. Nach Angaben von SecurityOnline endet die Kette mit CVE-2026-111357, die Privilegien auf Root erhöht und dem Angreifer uneingeschränkte Kontrolle über das Gerät gibt[5]. Cyber Security News berichtet, dass Volexity UTA0576-Aktivitäten bis zum 3. Oktober verfolgte[6]. GBHackers berichtet, dass die Angreifer Windows LAPS-Administratorkennwörter, BitLocker-Wiederherstellungsschlüssel, kennworttragende Attribute und Kontometadaten ins Visier nahmen[4]. GBHackers besagt, dass Ivantis Update vom 29. Oktober die Versionen 25.1.1.3 und 22.8R2.6 als Behebung der offengelegten Sicherheitslücken auflistet[4]. CISA sagt, dass Organisationen sofort auf die neueste Version aktualisieren sollten[1]. Nach Angaben von Cyber Security News stellte Volexity fest, dass speicherinterne Änderungen und wiederhergestellte Einstellungen Ivantis Integrity Checker entwichen[6]. CISA sagt, dass Organisationen, die auf Kompromittierung prüfen, Netzwerk- und Speicherforensik durchführen müssen[1].