Ivanti dicht meerdere kwetsbaarheden in Connect Secure. De belangrijkste, CVE-2026-104935, maakt het mogelijk om zonder inloggegevens willekeurige commando’s op het apparaat uit te voeren. De fout is als zero‑day misbruikt en kreeg een CVSS‑score van 8,6. Ivanti en diverse CERT’s melden dat er actief misbruik plaatsvindt. Publieke proof‑of‑conceptcode is op het moment van schrijven niet breed beschikbaar, maar experts verwachten dat dit snel kan veranderen, wat het risico op grootschalig misbruik vergroot. (digital.nhs.uk) (ncsc.nl) (esentire.com) (tesorion.nl)

Update 3 november 2026: Ivanti heeft twee extra kwetsbaarheden bekendgemaakt, CVE-2026-111357 en CVE-2026-118527. Deze worden, samen met CVE-2026-104935, in het wild misbruikt. Ook is de lijst met kwetsbare versies uitgebreid: onder meer 25.1.1.2 en 22.8R2.5 – eerder gezien als ‘gepatcht’ voor CVE‑2026‑104935 – blijken alsnog kwetsbaar voor de nieuwe lekken. Ivanti heeft hiervoor updates beschikbaar gesteld. (ncsc.nl)

Wat is er precies aan de hand?

• CVE-2026-104935 is een authenticatie‑omzeiling die leidt tot uitvoering van commando’s zonder inloggen. Aanvallers combineren dit lek met twee andere fouten om root‑toegang te krijgen op de VPN‑gateway. In die keten speelt CVE‑2026‑111357 een rol bij het verhogen van rechten via het onveilig vertrouwen van DSCache‑gegevens door de service dsinvoked; CVE‑2026‑118527 gaat om voorspelbare identifiers die in de keten misbruikt kunnen worden. (digital.nhs.uk) (volexity.com) (beaconlab.us)

Welke versies zijn getroffen en wat is er gefixt?

• Op 13 oktober 2026 bracht Ivanti updates uit die CVE‑2026‑104935 verhelpen voor o.a. 22.8R2.4 en ouder, 25.1.1.1 en ouder en 25.1.2.2 en ouder. Voor de 25.1‑tak zijn 25.1.3.0/25.1.3.1 genoemd als niet‑kwetsbaar voor dit specifieke lek. (ncsc.nl)
• Voor het aanvullende misbruik via CVE‑2026‑111357 en CVE‑2026‑118527 adviseert Ivanti om verder te upgraden; diverse CERT‑meldingen verwijzen naar releases als 25.1.1.3 en 22.8R2.6 waarin de keten is dichtgezet. (thestack.technology) (govcert.gov.hk)

Actieve exploitatie en detectie

• Nationale en internationale instanties bevestigen misbruik in het wild. De kwetsbaarheden zijn toegevoegd aan ‘Known Exploited Vulnerabilities’‑lijsten, wat benadrukt dat snel patchen cruciaal is. (cyber.gc.ca) (digital.nhs.uk)
• Onderzoekers laten zien dat de keten (pre‑auth tot root) grotendeels in het geheugen werkt. Daardoor kan Ivanti’s Integrity Checker Tool sporen soms missen; diepgaande forensische analyse van logs en systeemstatus is daarom verstandig. CISA wijst hier expliciet op in zijn alert. (ccn.web.tr) (volexity.com)

Wat kun je nu doen?

• Patch direct naar de door Ivanti aangegeven vaste versies voor jouw release‑tak en hardware. Controleer zorgvuldig je upgrade‑pad (22.x naar 25.x kan aanvullende stappen vereisen). (ncsc.nl) (thestack.technology)
• Ga uit van mogelijke compromittering als je Connect Secure‑appliance tussen begin oktober en je patchmoment publiek bereikbaar was. Voer forensisch onderzoek uit: verzamel en bewaar system‑ en applogs, controleer op afwijkingen rond dsinvoked/DSCache en vergelijk configuraties met een bekende goede baseline. (volexity.com)
• Draai zowel de interne als externe Integrity Checker Tool, maar vertrouw niet alleen op een ‘groen’ resultaat. Volg de forensische triage‑aanbevelingen van CISA en je eigen CSIRT‑procedures. (ccn.web.tr)
• Wijzig gevoelige inloggegevens en sleutelmateriaal dat via de VPN toegankelijk is (administratieve accounts, service‑accounts, SSO/LDAP‑koppelingen, API‑tokens) en herbeoordeel toegangsregels op je edge‑apparatuur. Voor algemene hardening van edge‑devices geeft het NCSC praktische handvatten. (english.ncsc.nl)

Belangrijke data op een rij

• 13 oktober 2026: Ivanti publiceert fixes voor CVE‑2026‑104935; eerste advisories over actieve exploitatie verschijnen. (ncsc.nl)
• 30 oktober 2026: instanties melden dat ook CVE‑2026‑111357 en CVE‑2026‑118527 actief worden misbruikt; toevoeging aan KEV‑overzichten volgt. (cyber.gc.ca)
• 3 november 2026: NCSC‑NL werkt zijn alert bij met uitgebreide lijst van kwetsbare én te updaten versies. (ncsc.nl)

Kort gezegd: update nu, controleer of je keten van kwetsbaarheden volledig is dichtgezet en neem tijd om te onderzoeken of er sporen van misbruik zijn achtergebleven. Dat verkleint de kans op blijvende toegang door aanvallers en verkort je herstelpad aanzienlijk. (digital.nhs.uk) (ccn.web.tr)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.