CVE-2026-118527: Die Ivanti-CVE, die selbst CISAs eigener Katalog nicht erklärt

CISA fügt derselben Kette zwei weitere CVEs hinzu und erklärt eine davon nicht vollständig

Alle behandeln eine KEV-Aufnahme als den Moment, in dem eine Schwachstelle endlich erklärt wird. CISAs eigener Katalogeintrag für CVE-2026-118527 tut das Gegenteil. Er sagt, der Fehler existiert, sagt, er lässt sich mit zwei anderen CVEs auf demselben Gerät verketten, und hört deutlich vor der Stelle auf, an der er sagen müsste, was er eigentlich ist. [4]

Zwei Wochen nach meinem Artikel über CVE-2026-104935 — die welcome.cgi-zu-root-Kette, die Volexity auf einem vollständig gepatchten Ivanti Connect Secure-Gerät rekonstruiert hat — hat CISA zwei weitere CVE-Nummern für dieselbe Kette in den Known Exploited Vulnerabilities-Katalog aufgenommen, beide am 30. Oktober 2026: CVE-2026-111357 und CVE-2026-118527. [3][4] Eine davon löst einen offenen Punkt aus dem ersten Artikel. Die andere öffnet einen neuen.

CVE-2026-111357 ist die einfache Hälfte: endlich ein Name für einen Mechanismus, den ich schon erklärt hatte

Der ursprüngliche Artikel beschrieb eine Rechteausweitungsstufe ohne CVE-Nummer und ohne Patch: Ein Angreifer, der bereits Codeausführung als der unprivilegierte cgi-server-Benutzer erreicht hatte, konnte dsinvoked, ICS' eigenen root-Task-Runner, umleiten, indem er die im Speicher gehaltene Kopie einer gemeinsam genutzten Bibliothek patchte. Diese Stufe hat jetzt beides. Ivanti hat am 29. Oktober 2026 einen Fix veröffentlicht, und Volexitys eigenes Update nennt ihn CVE-2026-111357. Die Beschreibung von NVD stimmt unabhängig mit dem Mechanismus überein: Der dsinvoked-Broker vertraut DSCache-Konfigurationsdaten, was zur Rechteausweitung auf root führt. [1][2]

CISAs eigenes Flag zur forensischen Triage zeigt, wie die Behörde jede CVE in dieser Kette behandelt. Pflicht nach Binding Operational Directive 26-04 für CVE-2026-104935 und CVE-2026-111357. Nicht Pflicht für CVE-2026-118527. [5][3][4] Ziehen Sie selbst Ihre Schlüsse darüber, wie geklärt CISA die dritte CVE tatsächlich hält.

// KEV catalog entries for this chain, read directly from CISA's own catalog pages.

CVE-2026-104935   added 2026-10-13   due 2026-10-16   forensic triage: required
CVE-2026-111357   added 2026-10-30   due 2026-11-02   forensic triage: required   (Ivanti's patch shipped 2026-10-29)
CVE-2026-118527   added 2026-10-30   due 2026-11-13   forensic triage: not required

// Same chain, three different clocks, and CISA treating the third CVE
// differently from the other two without saying why in the catalog entry itself.

CVE-2026-118527 passt zu nichts, was Volexity je beschrieben hat

CISAs Kurzbeschreibung für CVE-2026-118527 liest sich wie eine vereinfachte Version eines Fehlers aus dem ersten Artikel: Ein entfernter, authentifizierter Angreifer kann Dateien mit von ihm kontrolliertem Inhalt an einen bekannten Ort auf der Festplatte hochladen. [4] Das kommt dem Verhalten von wu.cgis Write-before-Validate-Race schon nahe, das eine hochgeladene Datei an einen vorhersagbaren, aus MD5 abgeleiteten Pfad schreibt, bevor der Inhalt geprüft wird. Nah, aber nicht identisch. Volexitys Beitrag, der ursprüngliche wie das Update, erwähnt CVE-2026-118527 kein einziges Mal. [1] Und CISA sagt, diese CVE brauche einen authentifizierten Angreifer. Das wu.cgi-Race ist unauthentifiziert erreichbar, über den welcome.cgi-Header-Trick, der diese ganze Kette eröffnet.

Ich weiß nicht, welche der beiden Möglichkeiten zutrifft: dass CVE-2026-118527 eine neue Nummer für einen Fehler ist, der bereits unter CVE-2026-104935 erfasst ist, oder dass es sich um ein tatsächlich eigenständiges, bislang öffentlich nicht beschriebenes Problem mit vorhersagbaren Pfaden handelt. Ivantis eigenes Advisory, das das in einem Satz klären könnte, ließ sich bei mir in zwei unabhängigen Rechercheläufen, durchgeführt von zwei verschiedenen Personen, nicht laden — beide liefen auf unterschiedlichen Wegen gegen dieselbe Mauer. Das ist ein anhaltendes Hindernis, keine Lücke, die ein späterer Versuch einfach löst. Bis sich das ändert oder Ivanti das Advisory anderswo erneut veröffentlicht, bleibt das eine offene Frage. Ich sage das lieber klar, als zu raten und in die eine oder andere Richtung falsch zu liegen.

Ein Medium berichtet von einer dreistufigen Reihenfolge, die Volexitys eigener Bericht nicht stützt

Es gibt einen zweiten offenen Faden. Ein Aggregator, der über die KEV-Ergänzungen vom 30. Oktober berichtete, beschreibt eine bestimmte Kettenreihenfolge: die unauthentifizierte Remotecodeausführung (CVE-2026-104935), dann ein authentifiziertes Platzieren einer Datei (CVE-2026-118527), dann die Rechteausweitung (CVE-2026-111357), als wäre die neuere CVE ein bewusster Zwischenschritt. Volexitys eigener Bericht funktioniert so nicht. Er geht direkt von der wu.cgi-Codeausführung zur dsinvoked-Rechteausweitung, ohne eine separate, beschriebene Stufe des Dateiplatzierens dazwischen. [6][1]

Entweder hat dieses Medium Details aus Ivantis Advisory, die Volexitys Beitrag nie abgedeckt hat, oder es liegt schlicht falsch, und von hier aus kann ich nicht sagen, welches von beidem zutrifft. Ich werde diesen Widerspruch nicht glätten, indem ich mir einfach die Version aussuche, die sich besser liest. Derselbe Beitrag nennt im eigenen Text außerdem zwei unterschiedliche CVSS-Werte für CVE-2026-111357 — an einer Stelle 7.0, an einer anderen 8.8 — und für CVE-2026-118527 einen Wert von 4.3, während die eigene Vergleichstabelle für dieselbe CVE separat 'Analyse ausstehend' angibt. [6] Behandeln Sie jede Zahl für diese beiden CVEs außer NVDs eigener 7.0 für CVE-2026-111357 als unbestätigt, denn genau das ist sie gerade. [2]

Was sich für Sie tatsächlich ändert, mit oder ohne Antwort auf eine der beiden Fragen

Patchen Sie trotzdem. Die erste Fix-Runde für CVE-2026-104935 hat die welcome.cgi- und wu.cgi-Stufen bereits geschlossen; die genauen Builds habe ich im ersten Artikel genannt, und diese Liste hat sich nicht geändert. Die dsinvoked/DSCache-Stufe braucht ein eigenes Update, jetzt als CVE-2026-111357 erfasst, das Ivanti am 29. Oktober 2026 veröffentlicht hat. Die bundesweite Frist dafür war der 2. November 2026 — heute, während ich das schreibe. [1][3] Die Frist für CVE-2026-118527 läuft bis zum 13. November 2026, und CISAs eigenes Flag zur forensischen Triage markiert sie, anders als die beiden anderen, als "nicht erforderlich" nach BOD 26-04. [3][4][5]

Lassen Sie sich von einer ungeklärten Identitätsfrage nicht zum Warten verleiten. Ob CVE-2026-118527 sich als neuer Fehler oder als umbenannter alter herausstellt, der Fix-Weg bleibt derselbe: aktuelle Builds, aktuelle Advisories, und ein Vorfall wird nicht allein auf Basis eines sauberen Integrity-Checker-Tool-Laufs für abgeschlossen erklärt. Diese Einschränkung aus dem ersten Artikel ist nirgendwohin verschwunden.

// What this update actually settles, and what it doesn't.

SETTLED
  - CVE-2026-111357 is the dsinvoked / DSCache privilege escalation
    described in the original piece. Ivanti patched it on 2026-10-29.
  - CISA added both new CVEs to the KEV catalog on 2026-10-30.

NOT SETTLED
  - Whether CVE-2026-118527 is a new bug, or an existing one (the wu.cgi
    predictable-path upload) given its own CVE number.
  - Which chain order is correct: Volexity's (RCE straight to privilege
    escalation) or the three-stage order one outlet reported, with
    CVE-2026-118527 as a separate step in between.
  - Any CVSS score for CVE-2026-118527. NVD has no record for it as of
    this writing.

Ein ungeklärter KEV-Eintrag ist kein offener Punkt, den Sie ignorieren dürfen

Die ehrliche Version dieses Updates ist kürzer als der Wirbel darum: Eine neue CVE-Nummer hat eine Lücke geschlossen, die ich vor zwei Wochen benannt hatte, und eine andere neue CVE-Nummer hat eine Frage aufgeworfen, die CISAs eigener Katalog nicht beantwortet. Beides stimmt gleichzeitig, und keines hebt das andere auf.

Genau das ist die Art von Lücke, nach der ich suche, wenn ich für einen Kunden einen Patch verifiziere: nicht, ob die CVE aus dem Ticket geschlossen wurde, sondern ob wirklich jeder Mechanismus, der einer Kette zugeschrieben wurde, tatsächlich behoben ist, einschließlich der Mechanismen, die noch niemand vollständig beschrieben hat. Wenn bei Ihnen eine Ivanti Connect Secure-Box läuft und Sie das gegen die reale Konfiguration prüfen lassen wollen, ist das genau die Arbeit, die ich mache.