Ivanti Connect Secure VPN'de saldırılarda kullanılan sıfırıncı gün açığı yamalandı

Ivanti, kurumsal VPN ürünü Ivanti Connect Secure'da (ICS) bulunan ve saldırılarda kullanılan bir sıfırıncı gün açığı için güncelleme yayımladı. BleepingComputer'ın 13 Ekim 2026 tarihli haberine göre CVE-2026-104935 koduyla izlenen yüksek önem dereceli kimlik doğrulama atlatma açığı, yetkisiz uzak saldırganların kullanıcı etkileşimi olmadan hedef cihazlarda komut çalıştırmasına olanak tanıyor.

Etkilenen sürümler ve saldırı zinciri

Habere göre açık, ICS 22.8R2.4 ve öncesi, 25.1.2.2 ve öncesi ile 25.1.1.1 ve öncesi sürümleri etkiliyor. Açığı Volexity adlı güvenlik şirketi raporladı. Volexity, daha önce bilinmeyen ve UTA0576 olarak adlandırdığı bir saldırganın açığı en az 3 Ekim'den bu yana kullandığını, başka bir firma olan Defused'un ise ilk izleri 1 Ekim'de gördüğünü belirtiyor. Saldırganın bu açığı iki başka açıkla zincirleyerek tam yamalı cihazlarda kimlik doğrulamasız root yetkisiyle kod çalıştırabildiği aktarılıyor.

Volexity'ye göre saldırgan cihazlara zararlı yazılım ya da web shell yerleştirmedi; her komut için cihazı yeniden istismar etti ve izlerini gizlemek için günlük kayıtlarını değiştirdi. Bu yöntemle Ivanti'nin Integrity Checker Tool aracından kaçabildiği bildiriliyor. Rapid7, Ivanti'nin güvenilir saldırı göstergelerinin bulunmadığını bildirdiğini, Volexity'nin ise göstergelerini GitHub üzerinde yayımladığını aktarıyor ve yama sonrasında da cihazların ele geçirilme belirtilerine karşı incelenmesini öneriyor.

Ivanti'nin açıklaması

Ivanti, açığın sınırlı sayıda saldırıda kullanıldığının farkında olduğunu ve etkilenen kuruluşlarla doğrudan çalıştığını açıkladı. Şirket, zincirdeki iki açığı yamalarken saldırganın kullandığı bir yetki yükseltme açığı için düzeltme üzerinde çalışmayı sürdürüyor. Rapid7'ye göre düzeltmeler 22.8R2.5, 25.1.3.0, 25.1.3.1 ve 25.1.1.2 sürümlerinde yer alıyor. Shadowserver verilerine göre internete açık 5.500'den fazla ICS cihazı bulunuyor.

Ivanti, müşterilerin en kısa sürede güncel sürüme geçmesini ve bütünlük kontrol aracını düzenli olarak çalıştırmasını öneriyor. Rapid7, ABD siber güvenlik ajansı CISA'nın açığı aktif olarak istismar edilen açıklar kataloğuna eklediğini aktarıyor.

Kaynak: BleepingComputer, Rapid7