Betroffene Einrichtungen
Bereich
Ivanti Connect Secure enthält eine Schwachstelle bei der Generierung vorhersehbarer Bezeichner, die es einem entfernten, authentifizierten Angreifer ermöglicht, Dateien mit angreiferkontrolliertem Inhalt an einen bekannten Speicherort auf dem Datenträger hochzuladen. Die Schwachstelle ist laut CISA als aktiv ausgenutzt eingestuft und kann mit weiteren Schwachstellen (CVE-2026-104935, CVE-2026-111357) verkettet werden, was eine deutlich erhöhte Angriffsgefahr darstellt. Ivanti Connect Secure wird in Gesundheitseinrichtungen häufig als VPN-Gateway für den sicheren Fernzugriff auf klinische Systeme wie KIS, PACS und Verwaltungsinfrastruktur eingesetzt; ein Angriff über diese Schwachstelle kann daher potenziell den Zugang zu Patientendaten oder kritischen Systemen gefährden. Einrichtungen sollten umgehend das bereitgestellte Sicherheitsupdate einspielen, alle aktiven Sitzungen zurücksetzen und die Systemintegrität überprüfen.
1 Ivanti Connect Secure sofort auf die aktuell vom Hersteller bereitgestellte gepatchte Version aktualisieren (Ivanti-Sicherheitsadvisory prüfen) und bis zur Einspielung des Patches den Fernzugriff auf Notfallzugänge beschränken oder temporär deaktivieren.
2. Alle aktiven VPN-Sitzungen beenden und bestehende Nutzer-Tokens sowie Zertifikate zurücksetzen, um mögliche Kompromittierungen durch vorab hochgeladene Dateien zu neutralisieren.
3. Systemdateien und bekannte Upload-Verzeichnisse auf dem Ivanti-Gerät auf unautorisierte oder unerwartete Dateien untersuchen und Integritätsprüfung (z. B. via Ivanti Integrity Checker Tool) durchführen.
4. Netzwerkverkehr und Authentifizierungslogs des VPN-Gateways auf verdächtige Aktivitäten (ungewöhnliche Uploads, Chaining-Angriffe mit CVE-2026-104935 und CVE-2026-111357) analysieren und SIEM-Alerting verschärfen.
5. Vorfall gemäß NIS2 und B3S intern dokumentieren und bei Hinweisen auf aktive Ausnutzung Meldung an BSI (DE) bzw. BACS (CH) oder CERT.at (AT) vorbereiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja