Ivanti Connect Secure'de Üç Sıfır Gün Açığı Tespit Edildi

Ivanti Connect Secure, bir VPN cihazı olarak, üç sıfır gün açığı nedeniyle saldırganların root erişimi elde etmesine olanak tanıdı. Güvenlik firması Volexity, 13 Ekim'de yaptığı açıklamada, bu açıkların kullanılarak giriş yapmadan komut çalıştırılabildiğini bildirdi. Ivanti, bu açıkların ikisi için yamalar yayınladı ve etkilenen sürümlere sahip müşterilere hemen harekete geçmeleri gerektiğini duyurdu. Üçüncü açık için ise henüz bir çözüm geliştirilmedi.

Sıfır Gün Açıkları ve Etkileri

Volexity, bu açıkların bir müşterinin cihazında tespit edildiğini ve cihazın o anda tamamen güncellenmiş olduğunu belirtti. Saldırgan, Volexity tarafından UTA0576 kodu ile takip ediliyor ve 3 Ekim'den itibaren bu açıkları kullanmaya başladı. Ivanti, 13 Ekim'de "sınırlı bir şekilde saldırıların gerçekleştiğini" doğruladı.

İlk iki açık, kimlik doğrulama atlama ve uzaktan kod yürütme açığı olarak tanımlanıyor ve birlikte CVE-2026-104935 kodu altında izleniyor. Bu açıklar, saldırganın cihazın cgi-server kullanıcısı olarak kod çalıştırmasına izin verirken, üçüncü açık olan yetki yükseltme açığı, bu erişimi root düzeyine çıkarıyor.

Etkilenen ve Etkilenmeyen Sürümler

Ivanti'nin açıkladığı CVE kaydı, etkilenen Connect Secure sürümlerini gösteriyor:

• Etkilenen: Connect Secure "25.1.3.0 sürümünden önce"
• Etkilenmeyen: 22.7R2.14 sürümü veya öncesi
• Etkilenmeyen: 22.8R2.5, 25.1.3.0 ve 25.1.3.1 sürümleri

Ivanti, yetki yükseltme açığı için bir çözüm üzerinde çalıştığını ve bunun "gelecek haftalarda bir güncelleme ile" sunulacağını bildirdi. Ancak, ilk iki açığın yamandığı bir cihazda bu açığın riskinin ne olduğu konusunda bilgi verilmedi.

Müşterilere Tavsiyeler

Ivanti, müşterilerine güncellemelerini yapmalarını ve düzenli olarak Integrity Checker Tool'u kullanmalarını önerdi. Ancak, Volexity bu aracın, saldırganın yalnızca bellek içinde kütüphane kodunu değiştirdiği ve yapılandırma verilerini geri yüklediği için bu saldırı zincirini tespit edemediğini belirtti. Saldırgan ayrıca, bu araçtan gizlenmek için çeşitli önlemler aldı.

Bir güvenlik ihlalinin doğrulanması için adli inceleme gerektiği, bunun da ağ ve bellek analizini kapsadığı ifade edildi. Volexity'nin incelediği olayda, belirli URL yolları ve HTTP başlıkları ile yapılan taleplerin büyük bir şekilde arttığı görüldü. Ayrıca saldırgan, saklanan kimlik bilgilerini çalarak, LDAP alan kimlik bilgilerini ve Active Directory'de şifre arama işlemleri gerçekleştirdi.

Sonuç

Ivanti, CVE-2026-104935 açığını CVSS şiddet ölçeğinde 10 üzerinden 8.6 olarak değerlendirdi. Aynı zamanda, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) bu açığın aktif olarak istismar edildiğini belirtti. Müşterilerin güvenliğini sağlamak için güncellemelerin bir an önce yapılması gerektiği vurgulanıyor.