Ivanti waarschuwt voor een ernstig beveiligingslek in Ivanti Connect Secure. Aanvallers hebben het lek al gebruikt bij een beperkt aantal klanten.
Ivanti waarschuwt voor kwetsbaarheid CVE-2026-104935 in Ivanti Connect Secure (ICS). Dat is de VPN-oplossing van het bedrijf. Het lek krijgt een CVSS-score van 8,6 en de ernstgraad hoog. Een beperkt aantal klanten werd al aangevallen voor de bekendmaking, wat aantoont hoe belangrijk snel patchen is. Ivanti werkt rechtstreeks met die organisaties samen.
Een deel van het lek had Ivanti zelf gevonden via zijn eigen beveiligingsprogramma. Versie 25.1.3.0 van juli bevatte daarvoor al een oplossing. Ivanti werkte nog aan dezelfde oplossing voor de andere ondersteunde versies toen de eerste aanvallen begonnen.
Wereldwijd zijn er zeker 5.500 instances van ISC te vinden via het internet. Voor Europa gaat het om bijna 2.000 mogelijk kwetsbare installaties. Hoeveel daarvan effectief op een kwetsbare versie draaien, is onduidelijk.
Aanvallen zonder account
Ivanti omschrijft het probleem als authentication bypass by spoofing. Bij zo’n lek vervalst een aanvaller een gegeven waarop het systeem vertrouwt om te bepalen wie er binnenkomt, waardoor hij de aanmelding omzeilt. In ICS kan een aanvaller zo op afstand en zonder account willekeurige commando’s uitvoeren.
De aanval loopt via het netwerk, is ze weinig complex en hoeft geen gebruiker ergens op te klikken. Er zijn volgens Ivanti nog maar weinig aanwijzingen beschikbaar om een inbraak vast te stellen. Volexity publiceerde indicatoren, en Ivanti vraagt klanten om de Integrity Checker Tool geregeld te draaien. Klanten die een inbraak vermoeden, volgen de herstelstappen die Ivanti heeft opgesteld.
Getroffen versies
Het lek zit in ICS 25.1.1.1 en ouder, 25.1.2.2 en ouder en 22.8R2.4 en ouder. Versie 22.7R2.14 en ouder is niet getroffen. Veilige versies zijn 25.1.1.2 (uitgebracht op 5 oktober), 22.8R2.5 (12 oktober) en 25.1.3.0 en 25.1.3.1.
Klanten met een getroffen versie moeten volgens Ivanti onmiddellijk updaten. Versie 22.7 en de tijdelijke tussenversie 22.8 worden op 31 januari 2027 niet langer ondersteund, en Ivanti raadt aan om voor die datum naar 25.1 over te stappen.
Het is bijlange niet de eerste keer dat Ivanti kampt met een kwetsbaarheid. De Belgische staatsveiligheid moest eerder dit jaar nog een beveiligingslek oplossen waarbij gegevens van werknemers werden buitgemaakt. Daarbij lag een bug bij software van Ivanti aan de basis. Ook in 2025 rapporteerden we over verschillende bugs.
Bij de maandelijkse patchronde bracht Ivanti ook updates uit voor Ivanti Neurons Patch for Intune en Xtraction. Daarvan is geen misbruik bekend.