Ivanti Connect Secure: zeroday trof een volledig bijgewerkte VPN, en de controletool van Ivanti ziet het niet

Een week geleden waarschuwden AIVD, MIVD en NCSC dat edge devices een structureel doelwit zijn. Na Citrix NetScaler en SonicWall is nu Ivanti aan de beurt.

Overzicht

Wat er is gebeurd

Op 13 oktober 2026 maakte Ivanti CVE-2026-104935 bekend, een kwetsbaarheid in Connect Secure waarmee een aanvaller zonder account de authenticatie omzeilt en willekeurige commando's uitvoert. Ivanti weet van misbruik bij "een beperkt aantal klanten", en dat misbruik begon voor de bekendmaking. Het NCSC bracht dezelfde dag een advisory uit met prioriteit hoog en verwacht dat er binnenkort publieke aanvalscode verschijnt, waarna misbruik op grote schaal waarschijnlijker wordt.

Volexity ontdekte de aanval. Het beveiligingsbedrijf begon op 5 oktober een onderzoek bij een klant, en wat het vond is ongemakkelijk: het apparaat draaide 22.8R2.4, op dat moment de nieuwste versie. Wie volledig bij was, was niet beschermd. Volgens Volexity begon het misbruik op 3 oktober.

Ivanti zegt dat een deel van het probleem al in juli was gedicht in versie 25.1.3.0. Het bedrijf was bezig de oplossing naar andere ondersteunde versies over te zetten toen de aanvallen begonnen.

Een keten van drie fouten, waarvan er één nog openstaat

Volexity beschrijft een keten van drie kwetsbaarheden die samen leiden tot code-uitvoering als root, zonder inloggegevens:

1. Authenticatie-omzeiling. Via een openbaar toegankelijk script kan de aanvaller verzoeken doorsturen naar scripts die normaal achter de inlog zitten.
2. Code-uitvoering. Een uploadscript schrijft bestanden weg voordat het controleert of ze geldig zijn. In dat korte venster voert de aanvaller zijn eigen script uit.
3. Rechtenverhoging naar root. De aanvaller past een onderdeel in het werkgeheugen aan, zodat een onderhoudstaak zijn code met rootrechten uitvoert.

De eerste twee vallen onder CVE-2026-104935 en zijn met de update van 13 oktober gedicht. De derde heeft nog geen CVE-nummer en geen oplossing; Ivanti verwacht die "in de komende weken". Onze eigen lezing, niet die van Ivanti: zolang de eerste twee stappen dicht zijn, kan een aanvaller zonder account de derde niet bereiken. Maar het betekent ook dat het apparaat pas helemaal is gerepareerd met een volgende update.

Wat de aanvallers deden

Volexity volgt de groep als UTA0576, een tot nu toe onbekende actor. Het bedrijf koppelt de groep niet aan een land en vermoedt, met weinig zekerheid, eerder criminele dan spionagemotieven. Het denkt ook, met gemiddelde zekerheid, dat de aanvallers taalmodellen gebruikten bij het ontwikkelen van de aanval. Er is dus geen verband met de Chinese actoren uit het advies van de diensten, maar wel met het patroon dat zij beschrijven.

De aanvallers plaatsten geen malware en geen webshell. Ze gebruikten wat op het apparaat beschikbaar was en richtten zich vrijwel volledig op inloggegevens:

• Gegevens van het apparaat zelf. Ze haalden de inloggegevens op die het apparaat gebruikt om via LDAP met uw directory te praten.
• Gericht zoeken in Active Directory. Met die gegevens zochten ze naar LAPS-wachtwoorden, BitLocker-herstelsleutels en wachtwoordvelden van gebruikers.
• Kerberoasting en password spraying. Ze zetten scripts in om serviceaccounts aan te vallen en wachtwoorden op grote schaal te proberen. Dat zijn technieken uit het Five Eyes-overzicht van aanvallen op Active Directory.
• Netwerkverkeer afluisteren. Met een hernoemde tcpdump vingen ze verkeer op om leesbare LDAP- en HTTP-inloggegevens en NTLM-hashes te verzamelen.

Volgens Volexity bereidden ze zich met grote zekerheid voor op verdere verplaatsing in het netwerk. Omdat de aanval werd ontdekt en onderbroken, is niet bekend wat het einddoel was.

Waarom een schone controle hier weinig zegt

Ivanti adviseert de Integrity Checker Tool te draaien, en dat blijft verstandig. Maar Volexity schrijft dat deze tool juist deze aanvalsketen niet kan zien: de aanvaller past het werkgeheugen aan en zet de configuratie daarna terug, zonder bestanden op schijf te wijzigen. Ivanti zelf zegt dat er op dit moment geen betrouwbare indicatoren zijn om vast te stellen of een VPN-server is gecompromitteerd.

Daar komt bij dat de aanvallers recente regels wisten uit de debuglogs en de Linux-auditlogs van het apparaat. Volexity kon de aanval alleen reconstrueren uit geheugen- en schijfimages. Dit is precies het scenario waarvoor de diensten vorige week adviseerden om logs centraal op te slaan, buiten het apparaat, en ze minstens een halfjaar te bewaren. Logs die alleen op het apparaat staan, zijn bij deze aanval geen bewijs.

Welke versies zijn kwetsbaar?

Ivanti adviseert gebruikers van de 22.8-reeks over te stappen naar 25.1.1.2 of nieuwer; lukt dat nog niet, dan dicht 22.8R2.5 de kwetsbaarheid ook. Versie 22.7R2.14 en ouder zijn volgens Ivanti niet getroffen.

Wat u nu kunt doen

1. Stel vast welke versie u draait en vergelijk die met de tabel. Vergeet geen tweede apparaat of een apparaat bij een dienstverlener.
2. Stel bewijs veilig voordat u updatet. Bewaar de logs, ook die op uw centrale logserver, en maak bij een virtueel apparaat een snapshot. Na een update en herstart is het werkgeheugen weg, en juist daarin zat bij deze aanval het bewijs.
3. Installeer de update. Houd de aangekondigde update voor de derde fout in de gaten en plan die direct in zodra hij er is.
4. Draai de Integrity Checker, maar vertrouw niet op een schone uitslag. Zoek aanvullend naar de sporen die Volexity beschrijft: veel verzoeken naar welcome.cgi, een X-DSCGI-PATH-header die niet bij de opgevraagde URL past, bestanden in /tmp/ met namen als ml.py, rq5.py, mk.py, rr.py of sp_run.py, en een proces dsstatmond in /data/.icscap/. Volexity noemt ook het IP-adres 108.165.147[.]64.
5. Vervang het LDAP-account van het apparaat. De aanvallers haalden juist die gegevens op. Controleer in uw directory wat dat account sinds 1 oktober heeft gedaan, vooral bevragingen van LAPS-wachtwoorden en BitLocker-herstelsleutels.
6. Kijk naar de gevolgen voor Active Directory. Bij aanwijzingen voor misbruik: vervang de LAPS-wachtwoorden en BitLocker-sleutels die zijn ingezien, controleer serviceaccounts op kerberoasting en zoek in uw aanmeldlogs naar password spraying. Ga ervan uit dat inloggegevens die onversleuteld over het netwerk gingen, zijn meegelezen.
7. Behandel een bevestigde inbraak als incident. Isoleer, stel bewijs veilig en volg het herstelstappenplan van Ivanti. Een update draait een eerdere inbraak niet terug, zo benadrukt ook het NCSC. Voor organisaties onder de Cyberbeveiligingswet loopt de meldtermijn vanaf het moment van constateren.

Een patroon, niet een incident

Het is het derde jaar op rij dat Ivanti te maken heeft met misbruikte zerodays in Connect Secure, na januari 2024 en januari 2025. In de lijst van actief misbruikte kwetsbaarheden van CISA staan volgens Security.NL 36 kwetsbaarheden van Ivanti. Ook bij Citrix en SonicWall zagen we de afgelopen weken hetzelfde: de VPN-gateway is het doelwit, het eerste wat de aanvallers zoeken zijn inloggegevens, en het apparaat ruimt zijn eigen bewijs op of laat dat de aanvaller doen.

Bronnen

• Volexity – A series of unauthenticated events: chained exploitation of Ivanti Connect Secure zero-days (13 oktober 2026)
• Ivanti – Security Advisory Ivanti Connect Secure CVE-2026-104935
• NCSC – Zero-day kwetsbaarheid in Ivanti Connect Secure: update direct
• NCSC – NCSC-2026-0416
• Security.NL – Ivanti waarschuwt voor misbruik van lek in Connect Secure vpn-servers (13 oktober 2026)
• The Register – Ivanti patches Connect Secure zero-day after researchers confirm in-the-wild attacks (14 oktober 2026)