Ivanti Connect Secure'da Üç Açık Zinciri: Kimlik Doğrulamasız Root Erişimi Mümkün

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ivanti Connect Secure (ICS) ürününü etkileyen iki güvenlik açığını aktif olarak istismar edildiğine dair kanıtların ardından Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Söz konusu açıklar, daha önce belgelenen bir kimlik doğrulama bypass açığıyla birleştirilerek kimlik doğrulaması gerektirmeyen root seviyesinde kod yürütme saldırısına zemin hazırladı.

Zincire Eklenen İki Yeni CVE​

KEV kataloğuna eklenen açıklardan ilki CVE-2026-111357, CVSS puanı 8.8 olarak belirlendi. Bu açık, kritik bir işlev için eksik kimlik doğrulaması sorununa dayanıyor ve yerel kimliği doğrulanmış bir saldırganın ayrıcalıklarını yükseltmesine olanak tanıyabiliyor. İkinci açık CVE-2026-118527 ise CVSS puanı 4.3 ile daha düşük bir kritiklik seviyesinde değerlendirildi; tahmin edilebilir sayı veya tanımlayıcı üretimi zafiyetini barındırıyor ve uzaktan kimliği doğrulanmış bir saldırganın saldırgan kontrolündeki içeriklerle dosyaları disk üzerinde bilinen bir konuma yüklemesine imkân tanıyabiliyor.
Bu iki açık, daha önce Volexity tarafından belgelenen ve CVE-2026-104935 (CVSS puanı 8.6) koduyla takip edilen bir kimlik doğrulama bypass açığıyla birlikte kullanıldı. CVE-2026-104935, 13 Ekim 2026 tarihinde KEV kataloğuna alınmıştı. Volexity'nin açıklamasına göre bu istismar zinciri; kimlik doğrulama bypass, uzaktan kod yürütme ve ayrıcalık yükseltme açıklarını bir araya getirerek kimlik doğrulamasız root düzeyinde kod yürütmeyi mümkün kıldı.

UTA0576: Belgelenmemiş Tehdit Aktörünün Yöntemi​

Saldırılar, daha önce belgelenmemiş bir tehdit aktörü olan UTA0576 ile ilişkilendirildi. Bu aktörün yöntemi, benzer saldırılarda yaygın olarak görülen web shell veya kötü amaçlı yazılım dağıtımından farklılaşıyor. UTA0576'nın gözlemlenen faaliyetleri arasında kimlik bilgilerinin ve sınırlı Active Directory meta verilerinin çalınması, hedef sistemlerde keşif yapılması ile yönetici parolaları ve BitLocker kurtarma anahtarlarının aranması yer alıyor.

Ivanti'nin Yama Süreci ve Açıklaması​

Kamuoyuyla paylaşılan açıklama sırasında Ivanti, ayrıcalık yükseltme açığına yönelik düzeltmeleri geliştirme aşamasında olduğunu duyurmuştu. CVE-2026-111357 ve CVE-2026-118527 için yamalar artık ICS'nin belirli sürümlerinde kullanıma sunuldu. 25.1.1.2 ve önceki sürümler için düzeltme 25.1.1.3 sürümünde, 22.8R2.5 ve önceki sürümler için ise 22.8R2.6 sürümünde yer alıyor.
Ivanti, istismar faaliyetinin tespit edildiği sırada CVE-2026-104935 için bir düzeltmenin kalite güvence sürecinde olduğunu ve müşterilere birincil istismar yolunu kapatan bir çözümü geciktirmeme kararı aldığını belirtti. Şirket ayrıca bu güvenlik açığının bir bölümünü kendi ürün güvenlik programı kapsamında keşfettiğini ve Temmuz sürümü olan 25.1.3.0'da yamadığını, istismar faaliyeti gerçekleştiğinde ise düzeltmeyi diğer desteklenen sürümlere taşımak için çalışmalar yürüttüğünü aktardı. En son sürüm, vahşi ortamda zincirlenerek istismar edilen tüm açıkları kapatıyor.

Federal Kurumlar İçin Zorunlu Uygulama Tarihleri​

Federal Sivil Yürütme Organı (FCEB) kurumlarının CVE-2026-111357 için yamaları 2 Kasım 2026 tarihine, CVE-2026-118527 için ise 13 Kasım 2026 tarihine kadar uygulaması zorunlu tutuluyor.

Sıkça Sorulan Sorular​

Bu saldırılarda hangi üç güvenlik açığı zinciri kullanıldı?​

Saldırganlar CVE-2026-104935 (kimlik doğrulama bypass), CVE-2026-111357 (ayrıcalık yükseltme) ve CVE-2026-118527 (tahmin edilebilir tanımlayıcı üretimi) açıklarını zincirleyerek kimlik doğrulamasız root düzeyinde kod yürütme imkânı elde etti.

UTA0576 olarak adlandırılan tehdit aktörü ne tür faaliyetler gerçekleştirdi?​

UTA0576, web shell veya kötü amaçlı yazılım dağıtmak yerine kimlik bilgileri ve sınırlı Active Directory meta verilerini çalmak, hedef sistemlerde keşif yapmak ve yönetici parolaları ile BitLocker kurtarma anahtarlarını aramak için bu açıklardan yararlandı.

Ivanti Connect Secure kullanıcıları hangi sürümlere güncelleme yapmalı?​

25.1.1.2 ve önceki sürümlerin 25.1.1.3'e, 22.8R2.5 ve önceki sürümlerin ise 22.8R2.6'ya güncellenmesi gerekiyor. En son sürüm, vahşi ortamda zincirlenerek istismar edilen tüm açıkları kapsıyor.

CISA, CVE-2026-104935'i KEV kataloğuna ne zaman ekledi?​

CVE-2026-104935, 13 Ekim 2026 tarihinde CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna alındı.

Federal kurumların bu yamaları uygulaması için belirlenen son tarihler neler?​

Federal Sivil Yürütme Organı kurumlarının CVE-2026-111357 için 2 Kasım 2026, CVE-2026-118527 için ise 13 Kasım 2026 tarihine kadar ilgili yamaları uygulaması zorunlu tutuluyor.