Ivanti heeft beveiligingsupdates uitgebracht voor twee actief aangevallen kwetsbaarheden in Connect Secure vpn-servers. De twee beveiligingslekken (CVE-2026-111357 en CVE-2026-118527) werden samen met een ander lek (CVE-2026-104935) gecombineerd om kwetsbare vpn-servers volledig over te nemen. Ivanti kwam op 13 oktober al met een patch voor CVE-2026-104935 en waarschuwde dat aanvallers misbruik van het probleem maakten.
Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Op de dag dat Ivanti met de patch voor CVE-2026-104935 kwam berichtte cybersecuritybedrijf over de zeroday-aanval op de Ivanti vpn-servers die het had waargenomen. Bij de aanval, die op 3 oktober plaatsvond, combineerden de aanvallers drie kwetsbaarheden.
De drie beveiligingslekken bestonden uit een authentication bypass, een remote code execution (RCE) en een privilege escalation kwetsbaarheid om zo ongeauthenticeerd code als root op vpn-servers te kunnen uitvoeren. Daarmee wisten de aanvallers volledige controle over de vpn-server te krijgen. Vanaf de gehackte vpn-server vielen de aanvallers vervolgens het achterliggende netwerk aan, aldus Volexity in een analyse van de aanval.
Ivanti is nu met updates voor CVE-2026-111357 en CVE-2026-118527 gekomen en een uitleg waarom het beide kwetsbaarheden niet op hetzelfde moment bekendmaakte als CVE-2026-104935. Op het moment dat de aanvallen werden waargenomen had Ivanti naar eigen zeggen al een oplossing voor CVE-2026-104935 ontwikkeld. Dit is de authentication bypass waardoor aanvallers toegang tot de server kunnen krijgen. Via de andere twee beveiligingslekken kunnen aanvallers hun rechten op de vpn-servers verhogen en remote code uitvoeren.
Volgens Ivanti wilde het de update voor CVE-2026-104935 zo snel mogelijk uitbrengen, omdat dit de eerste stap in de exploitketen is. Het Amerikaanse cyberagentschap CISA waarschuwt ook voor de twee misbruikte kwetsbaarheden en heeft Amerikaanse overheidsinstanties opgedragen om de beveiligingslekken binnen drie dagen te patchen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Wil jij met jouw privacykennis impact maken op de zorg? Je adviseert ruim 150 zorgorganisaties over privacy, gegevens bescherming en de verantwoorde inzet van data en AI. Je werkt aan regionale vraagstukken, schakelt met bestuurders en experts en krijgt volop ruimte voor ontwikkeling, opleiding en flexibiliteit.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
