Ivanti Connect Secure'daki giriş gerektirmeyen açık saldırılarda kullanılıyor

Ivanti’nin uzaktan erişim (VPN) ürünü Connect Secure’da, saldırılarda kullanılan bir açık ortaya çıktı. CVE-2026-104935 numaralı açık, cihazın kimlik doğrulama sürecini kandırmaya (authentication bypass by spoofing) dayanıyor. Kimliği doğrulanmamış bir saldırgan, geçerli bir hesabı olmadan cihazda komut çalıştırabiliyor. CVSS puanı 8.6.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 13 Ekim’de aktif istismar edilen açıklar kataloğuna ekledi ve ABD federal kurumlarına güncelleme için 16 Ekim’e kadar süre verdi. Kataloğa eklenmesi, açığın gerçek saldırılarda kullanıldığının doğrulandığı anlamına geliyor.

Connect Secure, kurum çalışanlarının şirket ağına dışarıdan güvenli bağlanması için kullanılan bir cihaz. İnternete açık durduğu ve ağa giriş kapısı olduğu için bu tür cihazlar saldırganların sürekli hedefinde. Ivanti’nin VPN ürünleri son yıllarda birçok kez saldırılarda kullanıldığı için kataloglara giren açıkları ayrıca dikkat çekiyor.

Etkilenen sürümler

Açık, Connect Secure’un 25.1.3.0 öncesi sürümlerini etkiliyor. Düzeltme 25.1.3.0 ve 25.1.3.1 sürümleriyle geldi, 22.8R2.5 sürümü de etkilenmiyor. Ivanti’ye göre 22.7R2.14 ve daha eski sürümler bu açıktan etkilenmiyor.

Önerilen önlemler

Connect Secure kullanan kurumların Ivanti’nin bültenindeki düzeltilmiş sürümlerden birine geçmesi gerekiyor. Açık saldırılarda kullanıldığı için, güncellemeden önce cihazın daha önce ele geçirilip geçirilmediğini anlamak amacıyla kayıtların ve yapılandırmanın gözden geçirilmesi, tanınmayan oturum ve hesapların aranması yerinde olur. Yönetim ve VPN arayüzlerinin internetten erişimini sınırlamak da saldırı yüzeyini azaltır.