1. Onderzoekers van Volexity ontdekten in oktober 2026 de actieve exploitatie van drie zero-day kwetsbaarheden in Ivanti Connect Secure. De eerste bevestigde exploitatie vond plaats op 1 oktober 2026, met de mogelijkheid dat de activiteiten al eind september 2026 begonnen.
2. De kwetsbaarheden werden in een keten uitgebuit om authenticatie te omzeilen, op afstand code uit te voeren en privileges te escaleren. Een race-conditie die nodig is voor code-uitvoering biedt weinig weerstand, waardoor een niet-geauthenticeerde aanvaller herhaaldelijk kan proberen te exploiteren totdat dit lukt.
3. Een actieve bedreigingsgroep, door Volexity getraceerd als UTA0576, heeft de kwetsbaarheden uitgebuit voordat Ivanti deze heeft verholpen. Volexity-onderzoekers hebben tijdens een onderzoek bij een klant met een gecompromitteerde Ivanti Connect Secure VPN-appliance post-exploitatieactiviteiten waargenomen. De bedreigingsgroep UTA0576 gebruikte de kwetsbaarheden herhaaldelijk om de Ivanti Connect Secure VPN-appliance te compromitteren en commando's uit te voeren.
4. Gevolgde acties door de bedreigingsgroep omvatten het extraheren van opgeslagen inloggegevens, het dumpen en stelen van Active Directory-metadata, en het implementeren van tools voor aanvullende aanvallen, het testen van inloggegevens en het zoeken naar beheerderswachtwoorden. De activiteiten van UTA0576 waren voornamelijk gericht op het stelen van inloggegevens, datadiefstal, manipulatie van logs en netwerkverkenning.
5. Ivanti bracht een patch uit voor de componenten van de exploitatieketen die authenticatie omzeilen en externe code-uitvoering betreffen, als één enkele kwetsbaarheid. Deze kwetsbaarheid, met de identificatie CVE-2026-104935, werd in juni 2026 intern ontdekt door Ivanti.
6. Ivanti gaf aan dat er een patch gepland stond voor de normale productreleasecyclus omdat de kwetsbaarheid intern was ontdekt, niet actief werd uitgebuit en niet voldeed aan de drempel voor een out-of-band release.
7. Ivanti heeft een beperkt aantal klanten geïnformeerd over mogelijke compromittering voorafgaand aan de openbaarmaking.
8. Op dinsdag 13 oktober 2026 heeft de Cybersecurity and Infrastructure Security Agency (CISA) de kwetsbaarheid toegevoegd aan de catalogus van bekende geëxploiteerde kwetsbaarheden.
9. Ivanti adviseert klanten om onmiddellijk te updaten naar de nieuwste softwareversie, de Integrity Checker Tool regelmatig uit te voeren en de door Volexity gepubliceerde indicatoren van compromittering te controleren.
10. CISA raadt Ivanti-klanten aan de kwetsbaarheid snel te patchen en waarschuwt dat de Integrity Checker Tool mogelijk geen bewijs van exploitatie detecteert, omdat de commando's van de bedreigingsgroep in het geheugen worden uitgevoerd. Organisaties die willen bepalen of ze zijn gecompromitteerd, moeten netwerk- en geheugenforensisch onderzoek uitvoeren.
11. Ivanti-producten, waaronder Ivanti Connect Secure, zijn frequente doelwitten voor aanvallers. Sinds eind 2021 heeft CISA 36 kwetsbaarheden in Ivanti-producten op de lijst van bekende geëxploiteerde kwetsbaarheden geplaatst. Sinds eind januari 2026 zijn minstens 6 kwetsbaarheden in Ivanti-producten uitgebuit.