Der erste Patch war nicht die ganze Kette.
Themenstand: 05.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
Die Ivanti-Kette zeigt, warum ein geschlossener Einstieg und eine bereinigte Umgebung zwei verschiedene Prüfungen sind.
Ein grüner Versionscheck beantwortet zu wenig.
Ein VPN-Gateway steht am Rand des Netzes. Seine Berechtigungen reichen oft deutlich weiter hinein. Genau deshalb interessiert mich an der Ivanti-Analyse nicht nur der erste erfolgreiche Zugriff. Entscheidend ist, welche Identitäten und Geheimnisse danach erreichbar waren.
Volexity beschrieb im Oktober 2026 eine ausgenutzte Kette gegen Ivanti Connect Secure: Umgehung der Anmeldung, Dateischreibmöglichkeit und anschließende Rechteausweitung. Der erste veröffentlichte Fix vom 13. Oktober deckte noch nicht die später behobene Rechteausweitung ab. Der Forschungsbericht wurde um den Fix vom 29. Oktober für CVE-2026-111357 ergänzt.
Der wertvollere Fund kann hinter der Appliance liegen.
Der Angreifer blieb nach der Untersuchung nicht bei der Appliance. Er suchte unter anderem nach Verzeichnis-Zugangsdaten, lokalen Administratorpasswörtern aus LAPS und BitLocker-Wiederherstellungsschlüsseln. Das sind Informationen, deren Risiko nach einem Software-Update weiterbesteht.
Meine erste Frage wäre deshalb: Welche Identität hat die Appliance für ihre Arbeit benutzt, und was durfte diese Identität lesen? Daraus ergibt sich ein Untersuchungsumfang. Pauschal alle Geheimnisse als gestohlen zu erklären hilft ebenso wenig wie die pauschale Entwarnung, weil die neue Buildnummer stimmt.
Fehlende Spuren sind kein positiver Nachweis.
Volexity beschreibt gelöschte Protokollspuren und eine Untersuchung mit Netzwerk-, Speicher- und Datenträgerdaten. Der Bericht weist darauf hin, dass der Integrity Checker eine Kompromittierung möglicherweise nicht erkennt. Ein unauffälliges Werkzeugergebnis kann daher eine einzelne Beobachtung sein; den Gesamtbefund ersetzt es nicht.
Für die eigene Untersuchung würde ich eine Zeitleiste bauen: Einstieg, erreichbare Berechtigungen, beobachtete Folgeaktivität und Eindämmung. Zu jeder Aussage gehört die Quelle. Wenn ein Teil nicht rekonstruierbar ist, bleibt er als Unsicherheit im Ergebnis stehen.
Was ich aus der Kette mitnehme.
Patchen, Untersuchung und Wiederherstellung brauchen einen zusammenhängenden Plan. Erst die aktuellen Herstellerhinweise für die tatsächlich eingesetzten Versionen prüfen. Dann betroffene Zugänge und Geheimnisse risikobasiert behandeln, Wiederherstellungsmaßnahmen festlegen und ihre Wirkung kontrollieren.
Ein guter Abschluss sagt nicht nur, was geändert wurde. Er erklärt, welcher Zugriffsweg damit geschlossen werden sollte, welche Beobachtung das stützt und welche Nachkontrolle noch aussteht. Das ist der Unterschied zwischen einer erledigten Änderung und einer belastbaren Bereinigung.
Diese Einordnung von Maurizio Schmidt basiert auf öffentlich beschriebener Forschung und ist kein Bericht über einen eigenen Kunden- oder Arbeitgebervorfall.