NCSC waarschuwt voor zero-days in Ivanti Connect Secure
Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor twee nieuw ontdekte kwetsbaarheden in Ivanti Connect Secure (CVE-2026-111357 en CVE-2026-118527). De securitylekken worden in combinatie met een eerder gemelde zero-day (CVE-2026-104935) actief misbruikt. Voor alle drie de kwetsbaarheden is een update beschikbaar. Het Nationaal Cyber Security Centrum (NCSC) adviseert de updates zo snel mogelijk te installeren.
Ivanti heeft ook de lijst met kwetsbare versies van Connect Secure uitgebreid. De versies 25.1.1.2 en 22.8R2.5 golden eerder als gepatcht voor CVE-2026-104935, maar blijken in de praktijk nog altijd kwetsbaar voor de twee nieuwe lekken. Organisaties die op basis van het eerdere advies hebben geüpdatet, moeten dus opnieuw de beschikbare beveiligingsupdates installeren.
Aanvaller hoeft niet in te loggen
De oorspronkelijke kwetsbaarheid, CVE-2026-104935, werd op 13 oktober bekendgemaakt. Een aanvaller kan het lek misbruiken om zonder inloggegevens op afstand opdrachten uit te voeren op een kwetsbaar Connect Secure-systeem. Ivanti beoordeelde het lek met een CVSS-score van 8.6. Het NCSC schat zowel de kans op misbruik als de mogelijke schade als hoog in. Volgens Ivanti werd het lek al bij een beperkt aantal klanten misbruikt voordat het openbaar werd.
Connect Secure is software waarmee medewerkers via een beveiligde verbinding toegang krijgen tot systemen en toepassingen van hun organisatie. Een geslaagde aanval kan een aanvaller controle geven over het getroffen systeem. Omdat de software toegang biedt tot de organisatieomgeving, lopen ook achterliggende systemen en gegevens gevaar.
Getroffen versies en updates
In de oorspronkelijke melding noemde Ivanti drie getroffen reeksen. Het gaat om versie 22.8R2.4 en ouder binnen de 22.8-reeks, waarvoor 22.8R2.5 de oplossing was, versie 25.1.1.1 en ouder, waarvoor 25.1.1.2 gold, en versie 25.1.2.2 en ouder, waarvoor 25.1.3.0 of 25.1.3.1 de oplossing was. Versie 22.7R2.14 en ouder zijn volgens Ivanti niet getroffen. Door de uitgebreide lijst zijn 22.8R2.5 en 25.1.1.2 inmiddels niet meer voldoende. Welke update nodig is, hangt af van de huidige versie en de gebruikte apparatuur.
Beheerders krijgen het advies te controleren welke versie van Connect Secure draait en de passende beveiligingsupdate zo snel mogelijk te installeren volgens de instructies van Ivanti. Voor de 22.8-reeks adviseerde Ivanti eerder een overstap naar 25.1.1.2 of nieuwer. Wie vermoedt dat een systeem is aangevallen, moet daarnaast de herstelstappen van Ivanti volgen, omdat updaten alleen een eerdere inbraak niet ongedaan maakt.
Meer over Security
Over Wouter Hoeffnagel
