Ivanti, Connect Secure saldırılarında zincirlenen iki sıfırıncı gün açığını daha kapattı

BleepingComputer'ın 2 Kasım 2026 tarihli haberine göre Ivanti, Connect Secure VPN ürününe yönelik saldırılarda birlikte kullanılan iki sıfırıncı gün açığını daha kapattı. Yüksek önem derecesindeki CVE-2026-111357 bir yetki yükseltme açığı; CVE-2026-118527 ise kimliği doğrulanmış saldırganların yama yapılmamış cihaza dosya yüklemesine imkân veriyor. Zincirin ilk halkası olan kimlik doğrulama atlatma açığı CVE-2026-104935 Ekim ayında düzeltilmişti.

• Defused, CVE-2026-104935'in aktif istismarına dair ilk işaretleri 1 Ekim'den itibaren gördü; Volexity ise o dönemki raporunda UTA0576 adlı saldırganın bu açığı en az 3 Ekim'den beri iki başka açıkla zincirlediğini bildirdi.
• Volexity'ye göre saldırgan zararlı yazılım veya web shell bırakmadı; çalıştırdığı her komut için cihazı yeniden istismar etti, kayıtları değiştirerek izlerini gizledi ve Ivanti'nin Integrity Checker aracını atlattı.
• CISA, CVE-2026-104935'i istismar edilen açıklar kataloğuna ekledi.
• Shadowserver, internete açık 5.000'den fazla Ivanti Connect Secure cihazı izliyor; bunların kaçının güvende olduğu bilinmiyor.

Neden önemli?

Saldırgan iz bırakmamaya çalıştığı ve bütünlük denetim aracını atlattığı için, aracın temiz sonuç vermesi tek başına yeterli güvence olmayabilir. Habere göre Kasım 2021'den bu yana 38 Ivanti açığı CISA'nın aktif istismar listesine girdi ve fidye yazılımı grupları bunlardan 12'sini kullandı. Uzaktan erişim için Ivanti Connect Secure kullanan Türk şirketlerinin hem Ekim'deki ilk düzeltmeyi hem de yeni yayımlanan güncellemeleri uyguladığını kontrol etmesi yararlı olabilir.

Ivanti, istismarı fark ettiğinde ilk açık için düzeltmenin zaten kalite kontrol aşamasında olduğunu ve yetki yükseltme açığı bulununca bu düzeltmeyi bekletmemeyi seçtiğini açıkladı. Şirket, Ekim yamalarını yayımlarken de yöneticileri bir an önce güncellemeye çağırmıştı.