Ivanti Connect Secure'da Üç Sıfır Gün Açığı Zinciri: Saldırgan Root Erişimi Elde Etti

Güvenlik araştırma firması Volexity, 13 Ekim tarihinde yaptığı açıklamada bir tehdit aktörünün Ivanti Connect Secure VPN cihazındaki üç ayrı sıfır gün açığını art arda kullanarak sisteme giriş yapmadan root yetkisiyle komut çalıştırdığını ortaya koydu. Saldırı, tam yamalı ve 22.8R2.4 sürümünü çalıştıran bir müşteri cihazında 3 Ekim'de başladı. Ivanti, aynı gün yaptığı duyuruda vahşi ortamda "sınırlı istismar" yaşandığını kabul ederek etkilenen sürümlerdeki müşterileri "derhal harekete geçmeye" çağırdı.

Saldırı Zinciri Nasıl Çalıştı?​

Volexity'nin açıklamasına göre ilk iki açık, kimlik doğrulama atlatma ve uzaktan kod yürütme bileşenlerinden oluşuyor; ikisi birlikte CVE-2026-104935 olarak izleniyor. Bu çift, saldırganın cihazın cgi-server kullanıcısı olarak kod çalıştırmasına olanak tanıyor. Üçüncü açık ise bir ayrıcalık yükseltme zafiyeti; bu sayede erişim doğrudan root seviyesine taşınıyor. Ivanti'nin CVE kaydı, 25.1.3.0 sürümünden önceki Connect Secure sürümlerini etkilenen olarak listelerken 22.7R2.14 ve öncesini, 22.8R2.5, 25.1.3.0 ile 25.1.3.1 sürümlerini etkilenmeyen olarak gösteriyor. 25.1.3.0 sürümünün sürüm notları Temmuz 2026 tarihini taşıyor.
Ayrıcalık yükseltme açığı için yama henüz mevcut değil. Volexity, Ivanti'nin bu düzeltmeyi "önümüzdeki haftalarda gelecek bir sürümde" yayımlayacağını aktardı. Raporunda, ilk iki açığın yamalandığı bir cihazda üçüncü açığın tek başına ne ölçüde risk taşıdığına dair bir değerlendirme yer almıyor.

Bütünlük Denetim Aracı Saldırıyı Kaçırdı​

Ivanti'nin müşterilere düzenli kullanımını önerdiği Integrity Checker Tool (Bütünlük Denetim Aracı), bu saldırı zincirini tespit edemedi. Volexity bunun nedenini açıkladı: İstismar, kütüphane kodunu yalnızca bellekte değiştiriyor ve değiştirdiği yapılandırma verilerini eski hâline geri yüklüyor. Saldırgan ayrıca araçtan gizli kalmak için ek önlemler aldı. Volexity'ye göre bir ihlalin doğrulanması, ağ ve bellek adli bilişimi dahil olmak üzere kapsamlı bir adli soruşturma gerektiriyor.
Firmanın incelediği olaydan elde edilen uzlaşma göstergelerine göre saldırgan, /dana-na/auth/url_default/welcome.cgi URL yoluna büyük hacimde istek gönderdi; bu isteklerde URL yoluyla eşleşmeyen bir değer taşıyan X-DSCGI-PATH HTTP başlığı kullanıldı. Cihazda /data/.icscap/ dizini oluşturuldu ve saldırganın kullandığı IP adresi olarak 108.165.147[.]64 tespit edildi.

Çalınan Kimlik Bilgileri ve Saldırganın İzlediği Yöntem​

Volexity'nin incelediği olayda saldırgan, cihazda depolanan kimlik bilgilerini ele geçirdi; bunlar arasında LDAP alan kimlik bilgileri de yer alıyordu. Aktör ayrıca Active Directory'de parola araması yaptı ve elde ettiği hesaplara parola püskürtme saldırıları düzenledi. Arkasında herhangi bir arka kapı ya da web kabuğu bırakmadı; her komut için istismar zincirinin tamamını yeniden çalıştırdı. Volexity, UTA0576 olarak takip ettiği bu tehdit aktörünün motivasyonunun casusluk değil, suç odaklı olduğunu düşük güven düzeyiyle değerlendirdi.

Ciddiyet Derecelendirmesi ve CISA'nın Değerlendirmesi​

Ivanti, CVE-2026-104935'i CVSS ölçeğinde 10 üzerinden 8,6 olarak derecelendirdi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ise kendi CVE kaydı girişinde istismarı "aktif" olarak işaretledi ve teknik etkiyi "toplam" olarak nitelendirdi. Ivanti ve Volexity'nin açıklamalarında henüz yükseltme yapamayan müşteriler için geçici bir geçici çözümden söz edilmiyor; yükseltmenin hâlihazırda ele geçirilmiş bir cihaza erişimi kaldırıp kaldırmadığı da belirtilmiyor.
Aynı Ivanti güvenlik duyurusu, iki farklı ürünü daha kapsıyor: Xtraction ve Neurons Patch for Intune. Her ikisinde de Ivanti'nin 10 üzerinden 9,9 olarak derecelendirdiği birer açık bulunuyor; Xtraction'da CVE-2026-106042 (2026.4 öncesi sürümler), Neurons Patch for Intune'da ise CVE-2026-109412. Ivanti, bu iki üründeki açıkların henüz istismar edildiğine dair bir bilgiye sahip olmadığını açıkladı.

Sıkça Sorulan Sorular​

Saldırı hangi Ivanti Connect Secure sürümlerini etkiliyor?​

Ivanti'nin CVE kaydına göre 25.1.3.0 sürümünden önceki Connect Secure sürümleri etkileniyor. 22.7R2.14 ve öncesi ile 22.8R2.5, 25.1.3.0 ve 25.1.3.1 sürümleri etkilenmeyen olarak listeleniyor.

Üç açıktan kaçı için yama yayımlandı?​

Volexity'nin 13 Ekim tarihli açıklaması itibarıyla Ivanti, kimlik doğrulama atlatma ve uzaktan kod yürütme açıklarını kapsayan ilk iki açık için yama yayımladı. Ayrıcalık yükseltme açığına yönelik düzeltme ise önümüzdeki haftalarda gelecek bir sürümde yayımlanacak.

Ivanti'nin Integrity Checker Tool bu saldırıyı neden tespit edemedi?​

Volexity'ye göre istismar, kütüphane kodunu yalnızca bellekte değiştiriyor ve değiştirdiği yapılandırma verilerini eski hâline geri yüklüyor. Saldırgan ayrıca araçtan gizli kalmak için ek önlemler aldı; bu nedenle bir ihlalin doğrulanması ağ ve bellek adli bilişimini kapsayan kapsamlı bir soruşturma gerektiriyor.

Saldırgan ele geçirilen cihazda ne yaptı?​

Volexity'nin incelediği olayda saldırgan, LDAP alan kimlik bilgileri dahil depolanan kimlik bilgilerini çaldı, Active Directory'de parola araması yaptı ve hesaplara parola püskürtme saldırıları düzenledi. Arka kapı ya da web kabuğu bırakmadı; her komut için istismar zincirini baştan sona yeniden çalıştırdı.

CISA bu açığı nasıl değerlendirdi?​

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE kaydındaki kendi girişinde istismarı "aktif" olarak işaretledi ve teknik etkiyi "toplam" olarak nitelendirdi. Ivanti ise açığı CVSS ölçeğinde 10 üzerinden 8,6 olarak derecelendirdi.