Ivanti vpn-servers volledig gehackt bij aanval, aanvallers zoeken BitLocker keys

In dit artikel:

Aanvallers hebben drie kwetsbaarheden in Ivanti Connect Secure gecombineerd om volledig gepatchte VPN-servers over te nemen. Cybersecuritybedrijf Volexity ontdekte de zeroday-aanval op 5 oktober; de aanval zelf vond op 3 oktober plaats. Door een authenticatieomzeiling, remote code execution en privilege-escalatie konden de aanvallers zonder inloggegevens code als root uitvoeren. Twee kwetsbaarheden hebben inmiddels het nummer CVE-2026-104935 gekregen.

Vanaf de gecompromitteerde servers drongen de aanvallers het achterliggende organisatienetwerk binnen. Ze verzamelden onder meer LDAP- en HTTP-inloggegevens, NTLM-hashes en Active Directory-metadata. Via een gestolen Active Directory-serviceaccount zochten ze bovendien naar lokale beheerderswachtwoorden, BitLocker recovery keys en andere opgeslagen wachtwoorden. Volexity vermoedt criminele motieven, maar kent de daders niet.

Ivanti bracht gisteren een beveiligingsupdate uit en meldt dat een beperkt aantal klanten via de kwetsbaarheid is gehackt. Het Nederlandse NCSC, het Amerikaanse CISA en andere overheidsdiensten beoordelen het risico en de mogelijke schade als hoog. Zij roepen organisaties dringend op hun Ivanti VPN-servers onmiddellijk te patchen, omdat een overname ook systemen en gegevens in het achterliggende netwerk kan blootstellen.