Kısaca: ABD’nin siber güvenlik kurumu CISA, Ivanti Connect Secure (kurumların uzaktan erişim için kullandığı VPN ürünü) için iki yeni açığı aktif olarak istismar edilenler listesine ekledi. Bu açıklar, daha önce duyurulan bir açıkla zincirlenerek kullanılıyor. Ivanti, zincirdeki tüm açıkları kapatan yamaları yayımladığını açıkladı.
Ne oldu?
- CISA, Ivanti Connect Secure’daki CVE-2026-111357 (CVSS puanı 8.8) ve CVE-2026-118527 (CVSS puanı 4.3) açıklarını KEV kataloğuna (kötüye kullanıldığı doğrulanmış açıkların listesi) ekledi.
- İlk açık, kritik bir işlev için kimlik doğrulama eksikliğinden kaynaklanıyor ve yerel, kimliği doğrulanmış bir saldırganın yetkisini yükseltmesine izin verebiliyor. İkincisi ise tahmin edilebilir kimlik numaraları nedeniyle, uzaktan giriş yapmış bir saldırganın diske bilinen bir konuma kendi içeriğiyle dosya yüklemesine yol açabiliyor.
- Güvenlik firması Volexity’ye göre bu iki açık, kimlik doğrulamayı atlatan CVE-2026-104935 (CVSS puanı 8.6) ile birlikte bir saldırı zinciri oluşturuyor. Bu zincir, kimlik doğrulaması olmadan root (sistemdeki en üst düzey yetki) seviyesinde kod çalıştırmayı sağlıyor. CVE-2026-104935, 13 Ekim 2026’da KEV listesine eklenmişti.
- Zinciri, UTA0576 adı verilen, daha önce bilinmeyen bir saldırgan grubunun kullandığı belirtiliyor. Grup web shell (sisteme gizli uzaktan erişim sağlayan yazılım) veya zararlı yazılım bırakmak yerine kimlik bilgilerini ve sınırlı Active Directory (kurum içi kullanıcı ve cihaz dizini) bilgisini çekmiş, sistemi keşfetmiş, yönetici parolalarını ve BitLocker kurtarma anahtarlarını aramış.
- Ivanti, ilk açığın düzeltmesi hazırken ayrıcalık yükseltme açığı keşfedildiği için önce ana saldırı yolunu kapatan yamayı yayımladığını söylüyor. Şirket, açığın bir kısmını Temmuz’daki 25.1.3.0 sürümünde zaten yamaladığını da belirtti. Son sürüm, zincirdeki tüm açıkları kapatıyor.
Neden önemli?
- VPN cihazları internete açık çalıştığı için saldırganların ilk hedefi oluyor. Zincir, saldırganın hiçbir hesabı olmadan cihazın tam kontrolüne ulaşmasını sağlıyor.
- Çalınan kimlik bilgileri ve BitLocker kurtarma anahtarları, saldırganın kurum ağında daha da ilerlemesine zemin hazırlayabilir.
- Kamu kurumları için yama süreleri belli: ABD federal sivil kurumlarının CVE-2026-111357 için 2 Kasım 2026, CVE-2026-118527 için 13 Kasım 2026’ya kadar güncelleme yapması gerekiyor.
Ne yapmalısın?
- Ivanti Connect Secure kullanıyorsan cihazı, Ivanti’nin yayımladığı en son sürüme hemen güncelle. Üç açığın hepsinin düzeltildiğinden emin ol.
- BT ekibindeysen cihaz kayıtlarında olağan dışı girişleri ve kimlik bilgisi toplama izlerini ara. Şüphe varsa yönetici parolalarını ve ilgili kimlik bilgilerini yenile.
- Yönetim arayüzünün ve VPN’in gereksiz yere internete açık olup olmadığını kontrol et; mümkünse erişimi sınırla.
- Evde veya şahsen bu ürünü kullanmıyorsan işin yok, ama çalıştığın kurumun BT birimine güncelleme yapılıp yapılmadığını sorabilirsin.
Kaynak: The Hacker News, 31 Ekim. Kontrol tarihi: 31 Ekim 2026.
Sen ne düşünüyorsun? Aşağıya yaz.