SecBoard
Zurück zur CVE-Übersicht

CVE-2026-104935

HIGH(8.6)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Risk Signal Score59/100 — HOCH
  • CVSS 8.6 — Hoch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

26.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.6

Technische Schwere

SecBoard-Einordnung

CVE-2026-104935 beschreibt eine Schwachstelle des Typs durch Spoofing in ICS-Produkten vor Version 25.1.3.0. Ein entfernter, nicht authentifizierter Angreifer kann dadurch beliebige Befehle ausführen. Die Schwachstelle betrifft ICS-Versionen nach 22.7R2.14 und vor 25.1.3.0. Diese Schwachstelle ist mit einem CVSS-Score von 8.6 (HIGH) als kritisch eingestuft. Ihre Dringlichkeit wird durch die Aufnahme in den () Katalog unterstrichen, was bedeutet, dass sie aktiv ausgenutzt wird. Die Möglichkeit der ohne Authentifizierung stellt ein erhebliches Risiko dar. Security-Teams sollten umgehend prüfen, ob betroffene ICS-Versionen im Einsatz sind. Eine Priorisierung des Patchings auf Version 25.1.3.0 oder höher ist aufgrund der aktiven Ausnutzung dringend erforderlich. Wo ein sofortiges Update nicht möglich ist, sollten temporäre Mitigationen und verstärktes Monitoring implementiert werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Ivanti has warned customers that a zero-day vulnerability in its Connect Secure (ICS) VPN appliances has been exploited in the wild. Volexity discovered the in-the-wild exploitation while investigating an incident at one of its customers, with evidence of exploitation starting on October 3. The threat actor UTA0576 chained three zero-days to gain unauthenticated, root-

Behobene Versionen

  • 22.8R2.5
  • 25.1.1.2
  • 25.1.3.0
  • 25.1.3.1

Threat-Hunting-Queries

Detects suspicious requests to the Ivanti Connect Secure VPN appliance, specifically targeting the /dana-na/auth/url_default/welcome.cgi path with an unusual X-DSCGI-PATH header, which indicates potential exploitation of CVE-2026-104935. Also looks for creation of the /data/.icscap/ directory.

Sentinel/Defender KQL

DeviceNetworkEvents
| where RemoteIP == "108.165.147.64" or (InitiatingProcessCommandLine contains "/dana-na/auth/url_default/welcome.cgi" and AdditionalFields contains "X-DSCGI-PATH")
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, RemoteIP, RemotePort, AdditionalFields
union DeviceFileEvents
| where FolderPath contains "/data/.icscap/"
| project TimeGenerated, DeviceName, FolderPath, FileName, ActionType

Splunk SPL

(sourcetype=ivanti_connect_secure (src_ip="108.165.147.64" OR (uri_path="/dana-na/auth/url_default/welcome.cgi" AND http_header_xdscgipath!=uri_path))) OR (sourcetype=linux_audit file_path="/data/.icscap/")

Sigma

title: Ivanti Connect Secure CVE-2026-104935 Exploitation
author: SecBoard
logsource:
  product: webserver
  service: access_log
detection:
  selection_ip:
    c-ip: '108.165.147.64'
  selection_uri_header:
    cs-uri-stem: '/dana-na/auth/url_default/welcome.cgi'
    X-DSCGI-PATH|!~: '/dana-na/auth/url_default/welcome.cgi'
  selection_file:
    Image: '*'
    TargetFilename|contains: '/data/.icscap/'
  condition: 1 of (selection_ip, selection_uri_header) or selection_file
level: critical

Elastic ES|QL

(source.ip == "108.165.147.64" OR (url.path == "/dana-na/auth/url_default/welcome.cgi" AND http.request.headers."X-DSCGI-PATH" != url.path)) OR (file.path : "/data/.icscap/*")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

IP-Adressen (1)

  • 108.165.147.64

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Betroffene Produkte

  • cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:22.8:r2:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:22.8:r2.1:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:22.8:r2.2:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:22.8:r2.3:*:*:*:*:*:*
  • cpe:2.3:a:ivanti:connect_secure:22.8:r2.4:*:*:*:*:*:*

In diesen Analysen erwähnt

Cyber-Lagebild Energie: Kritische Schwachstellen und gezielte Angriffe auf ICS/OTSecBoardWochenlage KW42: Kritische Schwachstellen in Microsoft, Linux und Dell erfordern sofortiges HandelnSecBoard

Referenzen