Ivanti, Connect Secure için iki yeni güvenlik açığını kapattı

Ivanti, Connect Secure (ICS) uzaktan erişim geçidi için iki yeni güvenlik açığını kapatan güncellemeler yayınladı. Bu açıklar, en az 1 Ekim tarihinden beri sıfırıncı gün saldırılarında kullanılıyordu. Saldırganlar, bu iki açığı (CVE-2026-111357 ve CVE-2026-118527) birlikte kullanarak, daha önce düzeltmiş oldukları bir kimlik doğrulama atlatma açığı (CVE-2026-104935) ile birleştirerek saldırılar gerçekleştirdiler.

Açıkların Detayları

CVE-2026-111357, yüksek öncelikli bir ayrıcalık yükseltme açığı iken, CVE-2026-118527, kimliği doğrulanmış saldırganların yamalanmamış bir cihaza dosya yüklemesine olanak tanıyor. Ivanti, Ekim ayında CVE-2026-104935 için güncellemeler yayınladığında, yöneticilere mümkün olan en kısa sürede güncellemeleri yapmaları konusunda uyarıda bulunmuştu. Çünkü bu açığın "sahada sınırlı bir şekilde istismar edildiği" bilgisini almışlardı.

Saldırıların Arka Planı

Siber güvenlik firması Volexity, bu açığı keşfettikten sonra, bir saldırganın (UTA0576) CVE-2026-104935 açığını en az 3 Ekim'den beri iki başka açıkla birleştirerek, tamamen yamalanmış ICS cihazlarında kimliği doğrulanmamış kök düzeyinde kod yürütme sağladığını bildirdi. Volexity, söz konusu saldırganın hiçbir kötü amaçlı yazılım veya web shell kullanmadığını, bunun yerine her komut için cihazı yeniden istismar ettiğini ve izlerini gizlemek için günlükleri değiştirdiğini belirtti.

CISA'nın Uyarısı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 1 Ekim'den itibaren CVE-2026-104935 açığının aktif olarak istismar edildiğini doğruladı ve federal ajansların sistemlerini Cuma gününe kadar yamalamalarını emretti. Şu anda, internet tehdit izleyicisi Shadowserver, 5,000'den fazla internetten erişilebilir ICS örneğini takip ediyor, ancak bunların ne kadarının mevcut saldırılara karşı güvence altına alındığına dair bilgi bulunmuyor.

Sık Sık Hedef Alınıyor

Saldırganlar, Ivanti'nin güvenlik açıklarını sıklıkla hedef alıyor. Çünkü bu açıklar, kurumsal ağlara hızlı bir giriş sağlıyor ve hassas müşteri verilerini çalmak için fırsatlar sunuyor. Son yıllarda, Ivanti, Connect Secure platformundaki başka birçok sıfırıncı gün açığını da yamalamıştı. 2024 yılı başlarında bir komut enjeksiyonu (CVE-2024-21887) ve bir kimlik doğrulama atlatma açığını (CVE-2023-46805) düzeltmişti. Ayrıca, 2025 yılı Ocak ayında bir uzaktan kod yürütme hatasını (CVE-2025-0282) ve Çin bağlantılı devlet korsanları tarafından istismar edilen bir diğer RCE açığını (CVE-2025-22457) düzeltmişti.

Ivanti, dünya genelinde 40,000'den fazla müşteri ve 7,000'den fazla ortak ile 3,000'den fazla çalışana sahip bir şirkettir. CISA, Kasım 2021'den bu yana 38 Ivanti güvenlik açığını aktif olarak istismar edilenler arasında işaretlemiştir ve bunlardan 12'sinin fidye yazılımı saldırılarında da kullanıldığını belirtmiştir.

Ne Anlama Geliyor?

Sonuç olarak, Ivanti'nin güvenlik açıklarını hızlı bir şekilde kapatması, siber saldırılara karşı savunma mekanizmalarının güçlendirilmesi açısından büyük önem taşımaktadır. Kullanıcıların, güncellemeleri zamanında yapmaları ve sistemlerini korumak için gerekli önlemleri almaları gerekmektedir.