Kerngegevens
- Leverancier
- Ivanti
- Product
- Ivanti Connect Secure
- Soort software
- VPN
- Getroffen versies
- Ivanti Connect Secure 25.1.1 25.1.1.2 en eerder
- Ivanti Connect Secure 22.8 22.8R2.5 en eerder
- Ivanti Connect Secure 25.1.2 25.1.2.2 en eerder (volgens CISA)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Ivanti Connect Secure 25.1.1.3 Advies Ivanti (opent in een nieuw venster)
- Ivanti Connect Secure 22.8R2.6 Advies Ivanti (opent in een nieuw venster)
- CVE gepubliceerd
- 3 november 2026
- Op de KEV-lijst sinds
- 30 oktober 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In Ivanti Connect Secure 25.1.1.2 en eerder en 22.8R2.5 en eerder, een VPN-product, gebruikt de software voorspelbare bestandsnamen bij het opslaan van bestanden; Ivanti loste dit op in 25.1.1.3 en 22.8R2.6. Een aanvaller die is ingelogd, kan daardoor via het netwerk een bestand met eigen inhoud op een bekende plek op de schijf zetten. De score is maar middel (4,3), maar aanvallers gebruiken dit lek samen met twee andere Ivanti-lekken om zonder inloggegevens de volledige controle over het VPN-apparaat te krijgen. Het staat daarom sinds 30 oktober 2026 op de lijst van actief misbruikte lekken van het Amerikaanse CISA.
Wie loopt risico?
Je loopt risico als je Ivanti Connect Secure gebruikt met 25.1.1.2 of eerder of 22.8R2.5 of eerder. CISA noemt ook 25.1.2.2 en eerder als getroffen. Let op: 25.1.1.2 en 22.8R2.5 zijn de updates van 13 oktober voor CVE-2026-104935; wie die heeft geïnstalleerd, moet opnieuw bijwerken. Los gezien heeft een aanvaller een geldig account nodig, maar in de bekende aanvalsketen wordt die stap omzeild met CVE-2026-104935. Elke organisatie met een Ivanti-VPN die via internet bereikbaar is, moet dit daarom als dringend behandelen, ondanks de lage score.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Ivanti Connect Secure | 25.1.1.3 | Advies Ivanti (opent in een nieuw venster) | |
| Ivanti Connect Secure | 22.8R2.6 | Advies Ivanti (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Kijk na welke versie van Ivanti Connect Secure je gebruikt. 25.1.1.2, 22.8R2.5 en eerder zijn kwetsbaar, ook als je in oktober al hebt bijgewerkt.
Werk direct bij
Installeer 25.1.1.3 of nieuwer. Ivanti raadt aan van de 22.8-lijn over te stappen op 25.1.1.3; lukt dat niet meteen, installeer dan 22.8R2.6. Volgens Ivanti dicht de nieuwste release alle drie de lekken uit de aanvalsketen.
Gebruik je de 25.1.2- of 25.1.3-lijn?
Voor die lijn noemt het advies geen aparte build die deze twee lekken oplost. Controleer het advies van Ivanti voor de juiste versie, of stap over op 25.1.1.3 of nieuwer.
Zoek naar sporen van misbruik
Aanvallers misbruiken deze lekken sinds begin oktober 2026. Gebruik de integriteitscontrole (Integrity Checker Tool) van Ivanti en volg de aanwijzingen in het advies. Vind je sporen, ga er dan van uit dat inloggegevens die via het apparaat liepen, zijn buitgemaakt.
Dezelfde update lost meer lekken op
25.1.1.3 en 22.8R2.6 verhelpen ook CVE-2026-111357, de rechtenverhoging uit dezelfde aanvalsketen. CVE-2026-104935 was al in oktober opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een zwakte van het type CWE-340, het genereren van voorspelbare getallen of identificatiemiddelen. Ivanti Connect Secure gebruikt voorspelbare bestandsnamen voor geüploade bestanden. Een externe, geauthenticeerde aanvaller kan daardoor een bestand met zelfgekozen inhoud wegschrijven naar een bekende locatie op de schijf. Op zichzelf scoort het lek laag (CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N, 4,3). In de praktijk is het een schakel in een aanvalsketen: aanvallers combineerden het sinds begin oktober 2026 met CVE-2026-104935 (authenticatie omzeilen) en CVE-2026-111357 (rechten verhogen) om zonder inloggegevens rootrechten op het apparaat te krijgen. Ivanti voegde het lek op 29 oktober 2026 toe aan zijn advies en bracht 25.1.1.3 en 22.8R2.6 uit. CISA zette het op 30 oktober 2026 op de lijst van actief misbruikte lekken.
CVSS-vector (versie 3.1, basisscore 4,3, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N- Zwakheid (CWE)
- CWE-340 · Genereren van voorspelbare getallen of identificatiemiddelen
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 30 oktober 2026
- Deadline van CISA
- 13 november 2026
- Gebruikt door ransomwaregroepen
- Niet bekend
Advies van de overheid
- NCSC (Nederland)Kans: Hoog · Schade: HoogBekijk advies