ABD siber güvenlik kurumu CISA, Ivanti Connect Secure ürünündeki CVE-2026-111357 ve CVE-2026-118527 açıklarının aktif olarak sömürüldüğü gerekçesiyle Bilinen Sömürülen Açıklar kataloğuna ekledi ve 13 Ekim'deki ilk açığın da içinde olduğu üçlü saldırı zincirine karşı acil yama çağrısı yaptı. Zincir, uzaktan kimlik doğrulamasız keyfî komut çalıştırmaya imkân tanıyor ve kimlik bilgisi hırsızlığı ile veri sızdırma amaçlı kullanılıyor.
Kurumsal VPN dünyasının bu ayki kabusu büyümeye devam ediyor. ABD Siber Güvenlik ve Altyapı Güvenliği Kurumu (CISA), Ivanti Connect Secure uzaktan erişim cihazlarındaki iki yeni açığı — kritik işlevde kimlik doğrulaması eksikliği (CVE-2026-111357) ile öngörülebilir sayı/tanımlayıcı üretimi (CVE-2026-118527) — ‘aktif sömürü kanıtı’ gerekçesiyle Bilinen Sömürülen Açıklar (KEV) kataloğuna ekledi. Kurum aynı gün, 13 Ekim’de kataloğa alınan öncül açığı CVE-2026-104935’ü de kapsayan uyarısını güncelledi ve tabloyu netleştirdi: Üç açık birlikte, uzaktan ve kimlik doğrulaması olmadan keyfî komut çalıştırmaya imkân veriyor; siber aktörler bu zinciri kimlik bilgisi hırsızlığı ve veri sızdırma için kullanıyor.
Etkilenen sürüm yelpazesi geniş: Connect Secure 25.1.1.2 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.5 ve öncesi. CISA, ilgili cihazlara sahip kuruluşlara en yeni sürüme derhal geçme çağrısı yapıyor ve 22.8 dalının 31 Ocak 2027’de ömrünü tamamlayacağını hatırlatıyor. Sömürüldüğü kanıtlanan açıklar, ABD’de federal sivil kurumlar için Bağlayıcı Operasyonel Direktif 26-04 kapsamında risk-kademeli yama yükümlülüğü tetikliyor: İnternete açık, KEV listesindeki ve komut dosyasıyla otomatik sömürülebilen, sömürü sonrası tam denetim veren açıklar en yüksek risk kademesinde değerlendiriliyor ve bu kademenin yama penceresi üç takvim gününe kadar inebiliyor.
Arka plandaki saldırı resmi, güvenlik firmalarının çalışmalarıyla ortaya çıktı. Volexity’nin araştırmasına göre UTA0576 kodlu aktör, ekim başından itibaren açıkları zincirleyerek kimlik doğrulaması gerekmeyen kök düzeyi kod çalıştırma seviyesine ulaştı; ele geçirilen cihazlarda Active Directory kimlik bilgileri, yerel yönetici parola çözümü (LAPS) parolaları ve BitLocker kurtarma anahtarları hedeflendi. Aktör kötücül yazılım veya web kabuğu bırakmıyor, her komut için cihazı yeniden sömürüyor ve izleri silmek için günlük kayıtlarına müdahale ediyor — Ivanti’nin bütünlük denetim aracının bile hafızada çalışan bu faaliyeti göremeyebildiği belirtiliyor. İhlal şüphesi olan kuruluşların ağ ve bellek adli analizine başvurması gerekiyor.
CISA’nın ihlal sonrası reçetesi de sert: Cihaz yapılandırmasını yedeklemek, fabrika ayarlarına dönmek, en yeni sürüme yükseltmek; bulut/sanal sistemleri yeniden inşa etmek; tüm hesap parolalarını sıfırlamak; saklı sertifikaları, API anahtarlarını ve lisans sunucusu kimlik bilgilerini iptal edip yeniden oluşturmak. Saldırganın kalıcılık sağlamış olabileceği ihtimaline karşı yamadan sonra da teyit öneriliyor.
Ivanti Connect Secure, son yılların en çok hedeflenen kurumsal cihazlarından biri: Kasım 2021’den bu yana kataloğa alınan 36 Ivanti açığından 12’si fidye yazılımlı kampanyalarda da kullanıldı. Araştırmacılar şu anki sömürünün sınırlı sayıda müşteriyle sınırlı kaldığını ancak hızla kitlesel ve ayrım gözetmeyen saldırılara dönüşebileceğini değerlendiriyor. İnternete açık 5 binden fazla Connect Secure parmak izi tespit eden ölçümler düşünüldüğünde, yama penceresi daralan kurumlar için öncelik listesinin başında bu cihazlar duruyor.