· CVE-2026-104935

Ivanti Connect Secure Umgehung der Authentifizierung (Spoofing)

8,6 CVSS · hochAktiv ausgenutzt

Umgehung der Authentifizierung (Spoofing) in Ivanti Connect Secure. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 8,6 (hoch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 25.1.1.2 und 25.1.3.0.

Sicherheitsseite des Herstellers

ivanti.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE
CVE-2026-104935
Produkt
Ivanti Connect Secure
Hersteller
Ivanti
Betroffene Versionen
  • ≥ 25.1.0.0, < 25.1.1.2
  • ≥ 25.1.2.0, < 25.1.3.0
  • 22.8-r2
  • 22.8-r2.1
  • 22.8-r2.2
  • 22.8-r2.3
  • 22.8-r2.4
laut NVD
Behoben in
25.1.1.2, 25.1.3.0
CVSS
8,6 (hoch)
CVSS 3.1, bewertet vom CVE-Herausgeber
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Aktiv ausgenutzt
Ja, laut CISA (im KEV-Katalog seit 13. Oktober 2026)
Schwachstellentyp
CWE-290 (Umgehung der Authentifizierung (Spoofing))
Veröffentlicht
Zuletzt geändert

Was zu tun ist

  1. Auf eine behobene Version aktualisieren: 25.1.1.2 und 25.1.3.0 oder neuer, je nach eingesetztem Versionszweig.
  2. Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
  3. Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
  4. Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.
Sicherheitsseite des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.

Bezeichnung bei CISA: Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability

Offizielle Referenzen

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 2. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen