Ivanti Connect Secure'da Üç Açık Zincirlenerek Kimlik Doğrulamasız Root Erişimi Sağlandı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ivanti Connect Secure (ICS) ürününü etkileyen iki güvenlik açığını aktif sömürü faaliyetlerinin ardından Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dahil etti. Söz konusu açıklar, daha önce kataloga alınmış üçüncü bir açıkla birlikte zincir saldırı yöntemiyle kullanılarak kimlik doğrulamasız root düzeyinde kod yürütülmesine imkân tanıdı.

Kataloga Alınan İki Yeni Güvenlik Açığı​

KEV kataloğuna eklenen açıklardan ilki CVE-2026-111357 olup CVSS puanı 8.8 olarak belirlendi. Bu açık, yerel kimliği doğrulanmış bir saldırganın ayrıcalıklarını yükseltmesine olanak tanıyan, kritik bir işlev için kimlik doğrulamasının eksik olduğu bir güvenlik sorunudur. İkincisi ise CVSS puanı 4.3 olan CVE-2026-118527'dir. Bu açık, uzaktan kimliği doğrulanmış bir saldırganın, saldırgan tarafından kontrol edilen içeriklere sahip dosyaları disk üzerinde bilinen bir konuma yüklemesine izin veren tahmin edilebilir sayı veya tanımlayıcı üretimi zafiyetidir.
Her iki açık da bu ayın başında Volexity tarafından belgelenen bir istismar zincirinin parçasını oluşturuyor. Söz konusu zincir, daha önce adı bilinmeyen UTA0576 adlı tehdit aktörü tarafından CVE-2026-104935 olarak tanımlanan bir kimlik doğrulama atlatma açığıyla birlikte silah olarak kullanıldı. CVE-2026-104935, 13 Ekim 2026 tarihinde KEV kataloğuna eklenmişti.

Saldırı Zincirinin İşleyişi ve UTA0576'nın Hedefleri​

Volexity'nin açıklamasına göre bu istismar zinciri; bir kimlik doğrulama atlatma, bir uzaktan kod yürütme (RCE) ve bir ayrıcalık yükseltme açığını bir araya getirerek kimlik doğrulamasız root düzeyinde kod yürütülmesini mümkün kıldı. Araştırmacılar, saldırı zincirinin üç bileşeninin birlikte kullanılmasının son derece kritik bir erişim düzeyi sağladığını vurguladı.
UTA0576'nın bu açıkları kullanım biçimi, bu tür saldırılarda yaygın olarak gözlemlenen yöntemlerden belirgin şekilde ayrılıyor. Web kabuğu yerleştirme veya kötü amaçlı yazılım dağıtma gibi tipik saldırı davranışlarının aksine bu tehdit aktörü, açıkları kimlik bilgilerini ve sınırlı Active Directory meta verilerini çalmak, hedef sistemlerde keşif yapmak ile yönetici parolalarını ve BitLocker kurtarma anahtarlarını aramak amacıyla kullandı.

Ivanti'nin Yamalar Konusundaki Süreci​

Ivanti, ayrıntıların kamuoyuyla paylaşıldığı dönemde yerel ayrıcalık yükseltme (LPE) açığına yönelik düzeltmenin hâlâ geliştirme aşamasında olduğunu açıkladı. Şirket, CVE-2026-104935 için bir düzeltmenin desteklenen sürümler için kalite güvence sürecinde bulunduğunu ve LPE açığı keşfedildiğinde birincil sömürü yolunu kapatan yamayı müşterilere en hızlı biçimde sunmayı tercih ettiklerini belirtti. Bu nedenle ilk aşamada CVE-2026-104935'in kamuoyuna duyurulması ve müşterilerin korunması öncelikli hedef oldu.
Ivanti ayrıca bu güvenlik açığının bir bölümünü kendi ürün güvenliği programı kapsamında tespit ettiğini ve Temmuz ayında yayımlanan 25.1.3.0 sürümünde yamadığını açıkladı. Şirket, sömürü faaliyeti gerçekleştiğinde düzeltmeyi diğer desteklenen sürümlere de taşıma çalışmalarının sürdüğünü ifade etti.

Yama Yapılan Sürümler ve FCEB Kurumlarına Yönelik Zorunluluklar​

CVE-2026-111357 ve CVE-2026-118527 için yamalar şu ICS sürümlerinde kullanıma sunuldu: 25.1.1.2 ve önceki sürümler için düzeltme 25.1.1.3'te, 22.8R2.5 ve önceki sürümler için ise düzeltme 22.8R2.6'da yer alıyor. Son sürüm, aktif olarak sömürüldüğü doğrulanan tüm güvenlik açıklarını kapsıyor.
Federal Sivil Yürütme Organı (FCEB) kurumları, CVE-2026-111357 için yamaları 2 Kasım 2026 tarihine kadar, CVE-2026-118527 için ise 13 Kasım 2026 tarihine kadar uygulamakla yükümlü tutuldu.

Sıkça Sorulan Sorular​

CISA, Ivanti Connect Secure için hangi güvenlik açıklarını KEV kataloğuna ekledi?​

CISA, CVE-2026-111357 (CVSS 8.8) ve CVE-2026-118527 (CVSS 4.3) olarak tanımlanan iki güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu açıklar sırasıyla kritik bir işlev için kimlik doğrulaması eksikliği ve tahmin edilebilir dosya konumuna dosya yükleme zafiyetlerini kapsıyor.

UTA0576 adlı tehdit aktörü bu açıkları nasıl kullandı?​

UTA0576, üç açığı zincirleyerek kimlik doğrulamasız root düzeyinde kod yürütme elde etti. Tehdit aktörü bu erişimi web kabuğu veya kötü amaçlı yazılım yerleştirmek yerine kimlik bilgilerini ve Active Directory meta verilerini çalmak, sistem keşfi yapmak ve yönetici parolaları ile BitLocker kurtarma anahtarlarını aramak amacıyla kullandı.

Saldırı zincirindeki üçüncü açık hangisi ve ne zaman kataloga eklendi?​

Zincirin üçüncü halkasını oluşturan kimlik doğrulama atlatma açığı CVE-2026-104935 (CVSS 8.6) olarak tanımlandı ve 13 Ekim 2026 tarihinde KEV kataloğuna eklendi. Bu açık, Volexity tarafından bu ayın başında belgelenen saldırı zincirinin başlangıç noktasını oluşturuyor.

Ivanti, güvenlik açıklarına yönelik yamaları hangi sürümlerde yayımladı?​

CVE-2026-111357 ve CVE-2026-118527 için yamalar ICS 25.1.1.3 ve 22.8R2.6 sürümlerinde kullanıma sunuldu. Bu sürümler sırasıyla 25.1.1.2 ve öncesi ile 22.8R2.5 ve öncesi sürümlerin yerini aldı. Son sürüm, aktif olarak istismar edilen tüm açıkları kapsıyor.

FCEB kurumları için yama uygulama son tarihleri nelerdir?​

Federal Sivil Yürütme Organı kurumları, CVE-2026-111357 için yamaları 2 Kasım 2026 tarihine kadar, CVE-2026-118527 için ise 13 Kasım 2026 tarihine kadar uygulamak zorunda.