Kısaca: Ivanti, Connect Secure uzaktan erişim ağ geçidindeki iki güvenlik açığı için yama yayımladı. Saldırganlar bu açıkları, geçen ay yamalanan bir kimlik doğrulama atlatma açığıyla birlikte, en az 1 Ekim’den beri zincirleme kullanıyordu.
Ne oldu?
- Ivanti, Connect Secure (ICS) için CVE-2026-111357 ve CVE-2026-118527 numaralı iki açığı kapatan güncellemeler yayımladı. ICS, çalışanların şirket ağına dışarıdan güvenli bağlanmasını sağlayan bir uzaktan erişim ağ geçididir.
- CVE-2026-111357, yüksek önem dereceli bir ayrıcalık yükseltme açığı (saldırganın normalden fazla yetki kazanması). CVE-2026-118527 ise kimliği doğrulanmış saldırganların yamasız cihaza dosya yüklemesine izin veriyor.
- Saldırganlar bu iki açığı, Ivanti’nin Ekim’de yamaladığı CVE-2026-104935 numaralı kimlik doğrulama atlatma açığıyla birlikte zincirleme (art arda) kullandı. Bunlar sıfırıncı gün saldırısı, yani üretici daha yama çıkarmadan başlayan saldırılardı.
- Açığı bulan Volexity, UTA0576 adlı saldırganın en az 3 Ekim’den beri üç açığı birleştirdiğini ve tam yamalı ICS cihazlarında kimlik doğrulamasız, en yüksek yetkiyle kod çalıştırdığını bildirdi. Defused ise ilk saldırı izlerini 1 Ekim’de gördüğünü söyledi.
- Volexity’ye göre saldırgan kötü amaçlı yazılım ya da web shell (gizli uzaktan erişim kapısı) bırakmadı. Her komut için cihazı yeniden istismar etti ve kayıtları değiştirerek Ivanti’nin Integrity Checker aracına yakalanmadı.
- ABD siber güvenlik kurumu CISA, CVE-2026-104935’i aktif istismar edilen açıklar listesine ekledi ve federal kurumlardan cuma gününe kadar yama yapmalarını istedi.
Neden önemli?
- Shadowserver, internete açık 5.000’den fazla ICS cihazı izliyor. Bunların kaçının güvenli hale geldiği bilinmiyor.
- Saldırganlar Ivanti açıklarını sık hedefliyor, çünkü bunlar kurumsal ağlara hızlı giriş sağlıyor. CISA, Kasım 2021’den beri 38 Ivanti açığını aktif istismar edilen olarak işaretledi. Bunların 12’si fidye yazılımı saldırılarında da kullanıldı.
Ne yapmalısın?
- ICS kullanıyorsan Ivanti’nin güncel güvenlik duyurusunu (advisory) kontrol et ve üç açığın yamalarını da uygula.
- Ekimde yalnızca CVE-2026-104935 yamasını uyguladıysan, yeni yayımlanan iki yamayı da geciktirmeden kur.
- Integrity Checker aracı atlatıldığı için yalnızca ona güvenme. Cihaz kayıtlarını ve olağandışı etkinlikleri ayrıca incele.
- BT ekibinde değilsen, şirketinin ya da okulunun VPN altyapısında Ivanti kullanılıp kullanılmadığını sorarak ilgili kişilere bu haberi ilet.
Kaynak: BleepingComputer, 2 Kasım. Kontrol tarihi: 2 Kasım 2026.
Sen ne düşünüyorsun? Aşağıya yaz.