Ivanti Connect Secure: zero-days uit op je AD-geheimen

Ivanti heeft patches uitgebracht voor twee extra kwetsbaarheden in Connect Secure, de VPN-appliance die in veel bedrijfsnetwerken als toegangspoort dient. Dat meldt BleepingComputer. De twee lekken, CVE-2026-111357 en CVE-2026-118527, maakten deel uit van een aanvalsketen die sinds begin oktober actief wordt misbruikt, naast de authenticatie-omzeiling CVE-2026-104935 die Ivanti vorige maand al dichtte.

De kern van het verhaal zit niet in de patch, maar in wat eraan voorafging. Het onderzoeksbureau Volexity stuitte op 5 oktober bij een klant op verdacht verkeer en vond als oorzaak een Connect Secure-appliance die op dat moment volledig bijgewerkt was: versie 22.8R2.4, build 19097. De aanvaller, door Volexity aangeduid als UTA0576, had sinds 3 oktober toegang.

Drie lekken aan elkaar geknoopt

Volexity beschrijft hoe de keten werkt. Eerst een omzeiling van de authenticatie: een verzoek aan de publieke inlogpagina welcome.cgi krijgt via de header X-DSCGI-PATH een ander script als bestemming mee. De URL bepaalt of het verzoek mag, het headerpad bepaalt waar het heen gaat, waardoor een niet-publiek script bereikbaar wordt. Daarna volgt een bestandsschrijf-fout in wu.cgi, waarmee code kan worden uitgevoerd. Tot slot de rechtenescalatie: volgens de NVD-beschrijving vertrouwt de dsinvoked-broker in 22.8R2.4 de DSCache-configuratiedata verkeerd, wat uitvoering als root oplevert. Die laatste kreeg CVSS 7.0 en werd volgens Volexity op 29 oktober gepatcht.

Het resultaat is ongeauthenticeerde code-uitvoering als root op een apparaat dat helemaal bij was.

De buit: LAPS-wachtwoorden en BitLocker-sleutels

Wat de aanvaller daarna deed, maakt dit meer dan een VPN-probleem. Volexity zag dat UTA0576 de op de appliance opgeslagen domeinreferenties voor LDAP uittrok en Active Directory-metadata exfiltreerde. Daarna volgde een eigen Kerberos-tool voor Kerberoast-aanvallen, en een eigen LDAP-tool in Python die via een gecompromitteerd AD-serviceaccount zocht naar LAPS-wachtwoorden voor lokale beheerders, BitLocker-herstelsleutels en andere attributen met wachtwoorden erin. Daarbij kwamen password spraying, het meelezen van LDAP-verkeer en het doorspitten van authenticatielogs op geldige gebruikersnamen.

Geen webshell, wel gewiste logs

Opsporing was lastig, omdat de aanvaller geen malware of webshell achterliet. In plaats daarvan werd het apparaat voor elk commando opnieuw misbruikt en werden sporen uit de debuglogs van Ivanti en de Linux-auditlogs verwijderd. Daarmee bleef Ivanti's eigen Integrity Checker Tool schoon, aldus Volexity. Het onderzoek lukte alleen met geheugen- en schijfimages en core dumps van het getroffen apparaat.

Wat je nu kunt doen

Werk Connect Secure bij volgens de advisory van Ivanti. Dat is nodig, maar het verklaart een apparaat niet schoon: de keten liep op een volledig gepatchte versie.
Ga niet uit van een groen rapport van de Integrity Checker Tool. Volexity zag die juist omzeild worden door logmanipulatie.
Zie je tekenen van laterale beweging die bij de appliance begint, laat het apparaat dan forensisch onderzoeken, adviseert Volexity.
Houd er rekening mee dat juist AD-geheimen het doelwit waren. Bij een vermoedelijke compromittering gaat het dus ook om domeinreferenties, serviceaccounts, LAPS-wachtwoorden en BitLocker-herstelsleutels.

Het Amerikaanse CISA zette beide nieuwe CVE's op 30 oktober in de lijst met actief misbruikte kwetsbaarheden, met 2 en 13 november als uiterste datum voor federale diensten. Een NVD-vermelding voor CVE-2026-118527 was er bij publicatie van dit bericht nog niet; CISA beschrijft dat lek als het genereren van voorspelbare waarden of identifiers. Volgens cijfers van Shadowserver die BleepingComputer aanhaalt, staan er nog ruim vijfduizend Connect Secure-instanties direct aan het internet.