Bij de recente aanvallen tegen Ivanti vpn-servers combineerden de aanvallers drie verschillende kwetsbaarheden om zo volledige controle over de systemen te krijgen. Vervolgens probeerden ze allerlei credentials te stelen, waaronder BitLocker recovery keys. Het Nationaal Cyber Security Centrum (NCSC), het Amerikaanse cyberagentschap CISA en andere overheidsdiensten roepen beheerders en organisaties op om hun Ivanti vpn-servers direct te patchen.

Gisteren kwam Ivanti met beveiligingsupdates voor een kwetsbaarheid in Ivanti Connect Secure (CVE-2026-104935). Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Volgens Ivanti is een 'beperkt aantal' klanten via CVE-2026-104935 gehackt. Details over de aanvallen werden echter niet gegeven.

Cybersecuritybedrijf Volexity ontdekte op 5 oktober een zeroday-aanval op een volledig gepatchte Ivanti vpn-server. Bij de aanval, die op 3 oktober plaatsvond, combineerden de aanvallers een authentication bypass, een remote code execution (RCE) en een privilege escalation kwetsbaarheid om zo ongeauthenticeerd code als root te kunnen uitvoeren. Daarmee wisten de aanvallers volledige controle over de vpn-server te krijgen. De authentication bypass en RCE-kwetsbaarheden hebben CVE-nummer CVE-2026-104935 gekregen.

Vanaf de gehackte vpn-server vielen de aanvallers het achterliggende netwerk aan, aldus Volexity in een analyse van de aanval. Eerst verzamelden de aanvallers alle credentials op de gehackte vpn-server, waaronder domain credentials gebruikt met LDAP, standaard HTTP authentication credentials en NTLM-hashes. Dit werd mede gedaan door het onderscheppen van netwerkverkeer. Ook werd beperkte Active Directory metadata gestolen.

Via een gecompromitteerd Active Directory service account en een zelfgemaakte Python LDAP tool zochten de aanvallers binnen Active Directory ook naar LAPS lokale admin-wachtwoorden, BitLocker recovery keys en 'password-bearing attributes'. Volexity weet niet wie erachter de aanval zit, maar vermoedt dat de aanvallers criminele motieven hebben en het niet om spionage gaat.

Het NCSC beoordeelt de kans op misbruik van het lek en de mogelijke schade als hoog. Organisaties worden dan ook opgeroepen om de patches meteen te installeren. "Een geslaagde aanval kan een kwaadwillende controle geven over het getroffen systeem. Omdat Connect Secure toegang biedt tot de organisatieomgeving, lopen achterliggende systemen en gegevens ook gevaar." Ook het Amerikaanse cyberagentschap CISA, alsmede overheidsdiensten uit andere landen, geven hetzelfde advies.