CISA'dan Ivanti Connect Secure İçin Acil Güncelleme Uyarısı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ivanti Connect Secure (ICS) cihazlarında tespit edilen ve aktif olarak istismar edilen kritik bir güvenlik açığı nedeniyle kuruluşlara acil güncelleme çağrısında bulundu. Salı günü yapılan açıklamada, CVE-2026-104935 olarak takip edilen kimlik doğrulama atlatma zafiyetinin uzaktan kimliği doğrulanmamış komut çalıştırmaya izin verdiği, tehdit aktörlerinin bu açığı kimlik bilgisi hırsızlığı ve veri sızdırma amacıyla kullandığı bildirildi.
Haberin özünde, CISA'nın tüm ICS kullanıcılarının cihazlarını ve dağıtımlarını derhal en son sürüme güncellemesi gerektiği uyarısı yer alıyor. Ajans, açığın sıfır gün olarak istismar edildiğini doğrularken, zafiyetin Federal Sivil Yürütme Organı (FCEB) kurumları için bağlayıcı bir yama takvimine de alındığını duyurdu.

CVE-2026-104935 Hangi Sürümleri Etkiliyor?​

Kaynak içeriğe göre CVE-2026-104935, CVSS puanı 8.6 olan bir kimlik doğrulama atlatma zafiyeti olarak sınıflandırılıyor. Açık, Ivanti Connect Secure'un 25.1.1.1 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.4 ve öncesi sürümlerini etkiliyor. Bu sürümleri kullanan bir cihaza karşı uzaktan ve kimliği doğrulanmamış bir saldırganın rastgele komutlar çalıştırmasına olanak tanıyor.
CISA, konuya ilişkin açıklamasında "CISA, siber tehdit aktörlerinin bu sıfır gün kimlik doğrulama atlatma zafiyetini istismar ettiğinin farkındadır; bu zafiyet uzaktan, kimliği doğrulanmamış rastgele komut yürütülmesine izin vererek kimlik bilgisi hırsızlığı ve veri sızdırma faaliyetlerine olanak tanıyor" ifadesini kullandı. Ajans, zafiyetin teknik etkisinin yalnızca erişim sağlamakla sınırlı kalmadığını, başarılı istismar sonrası komut yürütme yoluyla cihaz üzerinde geniş yetki elde edilebildiğini vurguladı.

CISA'dan KEV Kaydı ve Güncelleme Çağrısı​

CISA, CVE-2026-104935'i Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. Bu kayıtla birlikte Federal Sivil Yürütme Organı kurumlarının düzeltmeleri 16 Ekim 2026 tarihine kadar uygulaması zorunlu hale getirildi. Ajans, tüm etkilenen ICS dağıtımlarının müşterilerine Ivanti'nin Connect Secure Yükseltme ve Geçiş Uyumluluk Kılavuzu'nu (Connect Secure Upgrade and Migration Compatibility Guide) incelemelerini önerdi.
Ayrıca CISA, 22.8 sürümünün 31 Ocak 2027 tarihinde kullanım ömrünün sona ereceği (end-of-life) konusunda uyarıda bulundu. Bu tarihten sonra söz konusu sürüm için destek ve güvenlik güncellemelerinin sağlanmayacağı hatırlatılarak, geçiş planlamasının bu takvime göre yapılması gerektiği belirtildi.

Uzlaşma Tespiti ve CISA'nın Önerdiği Kurtarma Adımları​

CISA, kuruluşların uzlaşıp uzlaşmadığını belirlemek için ağ ve bellek adli bilişim incelemesi yapması gerektiğini açıkladı. Ajans, "Kuruluşların uzlaşıp uzlaşmadığını belirlemek için istismar kanıtlarını tespit etmek amacıyla ağ ve bellek adli bilişimi yapması gerekecek" değerlendirmesinde bulundu.
Bir uzlaşma tespit edilmesi halinde CISA, aşağıdaki adımların uygulanmasını tavsiye etti:

• Cihaz yapılandırmasının yedeğini oluşturun.
• Fabrika ayarlarına sıfırlama yapın ve cihazı en son sürüme yükseltin.
• Bulut ve sanal sistemler için sanal örneği (virtual instance) yeniden oluşturun ve en son sürüme yükseltin.
• Birinci adımda oluşturulan yedekten cihaz yapılandırmasını geri yükleyin.
• Etki alanı, yönetici ve yerel hesaplar dahil olmak üzere tüm hesapların parolalarını sıfırlayın.
• Saklanan sertifikaları iptal edip yeniden düzenleyin; saklanan API anahtarlarını ve lisans sunucusu kimlik bilgilerini sıfırlayın.

\nBu adımlar, cihaz üzerinde kalıcılık sağlayabilecek artifaktların temizlenmesi ve çalınmış olabilecek kimlik bilgilerinin geçersiz kılınması amacını taşıyor.

Honeypotlara Yansıyan 105 İstismar Girişimi​

Gelişme, Previdian'ın honeypot sensörlerine yansıyan saldırı verilerini paylaşmasıyla eş zamanlı olarak gündeme geldi. Şirket, 14 Ekim 2026 itibarıyla honeypot sensörlerini hedef alan 105 istismar girişimi gözlemlediğini açıkladı. Saldırı girişimlerinin Singapur ve ABD coğrafi konumlarına ait 50 benzersiz IP adresinden kaynaklandığı belirtildi.
Gözlemlenen IP adreslerinden bazıları şöyle sıralandı:

• 216.73.160[.]59
• 216.73.160[.]61
• 216.73.160[.]210
• 45.8.19[.]111

\nPrevidian kurucusu ve CEO'su Ryan Dewhurst, tehdit aktörlerinin dahili bir CGI işleyicisine ulaşmak için X-DSCGI-PATH başlığını kullandığını ve ZIP dosyaları gibi gösterilen Perl betikleri yüklediğini aktardı. Bu betiklerin, uzaktan kod yürütmenin başarılı olup olmadığını belirlemek için benzersiz işaretler (marker) döndürdüğü ifade edildi.
Dewhurst, The Hacker News'e yaptığı açıklamada "Bu Ivanti zafiyetini istismar etmeye yönelik koordineli girişimler görüyoruz, ancak şu ana kadar ele geçirilen yükler öncelikle kötü amaçlı yazılım dağıtmak veya cihazı uzlaştırmak yerine kod yürütmeyi test etmeye odaklanıyor" dedi. Dewhurst, "Bununla birlikte, tam anlamıyla silah haline getirilmiş istismarın önümüzdeki saatler ve günler içinde gerçekleşmesi muhtemel" uyarısında bulundu.

Volexity'nin Gözlemleri ve UTA0576 Faaliyetleri​

Ayrı bir raporda Volexity, CVE-2026-104935'in istismarını ilk olarak 3 Ekim 2026 tarihinde gözlemlediğini duyurdu. Şirkete göre, daha önce belgelenmemiş bir tehdit aktörü olan UTA0576, bu açığı bir ayrıcalık yükseltme zafiyetiyle birlikte kullanarak kimliği doğrulanmamış kök düzeyinde kod yürütme elde etti. UTA0576'nın casusluk yerine suç saikli hareket ettiği değerlendiriliyor.
Başarılı istismarın ardından tehdit aktörünün geniş kapsamlı istismar sonrası faaliyetlerde bulunduğu bildirildi. Volexity araştırmacıları Charlie Gardner, Sean Koessel ve Steven Adair'in aktardığına göre bu faaliyetler arasında ICS VPN cihazında depolanan kimlik bilgilerinin çıkarılması, sınırlı Active Directory meta verilerinin sızdırılması, Kerberoast saldırıları ve kimlik bilgisi testi yapabilen bir Kerberos aracının dağıtılması, ana bilgisayar keşfi, LDAP paket yakalama ve yönetici parolaları ile BitLocker kurtarma anahtarlarını aramak için bir Python LDAP aracının bırakılması yer alıyor.
Araştırmacılar, ele geçirilen yüklerin kötü amaçlı faaliyetleri gizlemeye yönelik kasıtlı çabalar gösterdiğini belirtti. Buna göre saldırganlar, seçici günlük modifikasyonu, geçici yürütme artifaktlarının kaldırılması ve değiştirilen sistem durumunun geri yüklenmesi gibi yöntemlerle izlerini gizlemeye çalıştı. Volexity, bu tekniklerin olay müdahalesini zorlaştırmayı ve cihaz üzerindeki varlığın tespitini geciktirmeyi amaçladığını kaydetti.

Sıkça Sorulan Sorular​

CISA'nın acil güncelleme uyarısına konu olan açık nedir?​

CISA'nın uyarısına konu olan açık CVE-2026-104935 numaralı, CVSS puanı 8.6 olan bir kimlik doğrulama atlatma zafiyetidir. Ivanti Connect Secure'un 25.1.1.1 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.4 ve öncesi sürümlerini etkiler ve uzaktan kimliği doğrulanmamış bir saldırganın rastgele komutlar çalıştırmasına izin verir.

CISA, FCEB kurumları için hangi yama tarihini zorunlu kıldı?​

CISA, CVE-2026-104935'i Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi ve Federal Sivil Yürütme Organı kurumlarının düzeltmeleri 16 Ekim 2026 tarihine kadar uygulamasını zorunlu kıldı.

Previdian honeypotlarında kaç istismar girişimi gözlemlendi?​

Previdian, 14 Ekim 2026 itibarıyla honeypot sensörlerine yönelik 105 istismar girişimi gözlemlediğini açıkladı. Girişimler Singapur ve ABD konumlarına ait 50 benzersiz IP adresinden kaynaklandı; örnek IP'ler arasında 216.73.160[.]59, 216.73.160[.]61, 216.73.160[.]210 ve 45.8.19[.]111 yer alıyor.

Tehdit aktörleri istismar için hangi yöntemi kullanıyor?​

Previdian CEO'su Ryan Dewhurst'e göre tehdit aktörleri X-DSCGI-PATH başlığını kullanarak dahili bir CGI işleyicisine ulaşıyor ve ZIP dosyası gibi gösterilen Perl betikleri yüklüyor. Betikler, uzaktan kod yürütmenin başarılı olup olmadığını belirlemek için benzersiz işaretler döndürüyor.

Volexity'nin UTA0576 olarak adlandırdığı aktör ne yaptı?​

Volexity, UTA0576'nın CVE-2026-104935'i ilk olarak 3 Ekim 2026'da bir ayrıcalık yükseltme açığıyla birlikte kullanarak kimliği doğrulanmamış kök düzeyinde kod yürütme elde ettiğini bildirdi. Aktörün suç saikli olduğu değerlendirilirken, ICS VPN cihazındaki kimlik bilgilerini çıkarma, sınırlı Active Directory meta verilerini sızdırma, Kerberoast aracı dağıtma, LDAP paket yakalama ve Python LDAP aracıyla yönetici parolaları ile BitLocker kurtarma anahtarlarını arama gibi faaliyetlerde bulunduğu aktarıldı.