Ivanti Connect Secure'da saldırılarda zincirlenen iki açık daha CISA'nın listesine girdi, düzeltme 25.1.1.3 ve 22.8R2.6 sürümlerinde

Ivanti, uzaktan erişim (VPN) ürünü Connect Secure için 13 Ekim’de yayımladığı bülteni 29 Ekim’de güncelleyerek iki açığı daha duyurdu ve bunları kapatan sürümleri yayımladı. Ivanti’ye göre CVE-2026-111357 ve CVE-2026-118527, 13 Ekim’de yazdığımız CVE-2026-104935 ile zincirlendiğinde, açıklar duyurulduğu sırada sınırlı sayıda müşteriye yönelik saldırılarda kullanıldı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) iki açığı 30 Ekim’de istismar edilen açıklar listesi KEV’e ekledi.

Açıklar

Ivanti’nin bültenine göre CVE-2026-111357, kritik bir işlev için kimlik doğrulamanın eksik olmasından kaynaklanıyor ve cihazda düşük yetkili bir hesapla çalışan yerel bir saldırganın yetkisini yükseltmesine izin veriyor. Ivanti’nin verdiği CVSS 3.1 puanı 8.8. CVE-2026-118527 ise tahmin edilebilir dosya adlarının kullanılmasından kaynaklanıyor ve kimliği doğrulanmış uzaktaki bir saldırganın, içeriğini kendisinin belirlediği dosyaları diskte bilinen bir konuma yüklemesine izin veriyor. Bu açığın puanı 4.3.

Ivanti’ye göre CVE-2026-104935 için hazırlanan düzeltme, saldırılar fark edildiği sırada desteklenen sürümler için zaten test aşamasındaydı. Şirket, yetki yükseltme açığı ortaya çıkınca ana saldırı yolunu kapatan bu düzeltmeyi geciktirmemeye karar verdi. Ivanti açığın bir kısmını kendi güvenlik programında bulduğunu ve Temmuz’da yayımlanan 25.1.3.0 sürümünde kapattığını, düzeltmeyi diğer desteklenen sürümlere aktarmaya çalışırken saldırıların başladığını belirtiyor.

Saldırı zinciri

Güvenlik şirketi Volexity, 13 Ekim’de yayımladığı raporda zinciri UTA0576 adını verdiği, daha önce bilinmeyen bir saldırganın kullandığını açıklamıştı. Volexity’ye göre saldırgan 3 Ekim’den itibaren, o sırada bütün güncellemeleri kurulu olan 22.8R2.4 sürümündeki bir Connect Secure cihazına tekrar tekrar girdi. Zincir üç adımdan oluşuyordu: herkese açık giriş sayfası üzerinden kimlik doğrulama gerektiren betiklere ulaşmak, bir dosya yükleme betiğinde kod çalıştırmak ve cihazdaki bir aracı sürecin yapılandırma verisine güvenmesini kullanarak root olarak komut çalıştırmak. Volexity, saldırganın kayıtlardaki izlerini sildiğini ve cihaza arka kapı ya da web kabuğu bırakmadan komutlarını saldırı isteklerinin içinden gönderdiğini belirtiyor.

Volexity’ye göre saldırgan cihazda LDAP için kullanılan alan hesabı bilgileri gibi kayıtlı kimlik bilgilerini çıkardı, sınırlı miktarda Active Directory verisi aldı, Kerberoast saldırısı ve parola denemesi yapabilen bir araç kurdu ve ele geçirdiği bir servis hesabıyla Active Directory’de yerel yönetici parolalarını (LAPS) ve BitLocker kurtarma anahtarlarını aradı. Saldırgan ayrıca cihazın yapılandırmasını topladı, LDAP trafiğini kaydetti ve geçerli kullanıcı adlarını bulmak için kimlik doğrulama kayıtlarını inceledi.

Etkilenen ve düzeltilmiş sürümler

• CVE-2026-111357 ve CVE-2026-118527, Connect Secure’un 25.1.1.2 ve öncesi ile 22.8R2.5 ve öncesi sürümlerini etkiliyor.
• Düzeltilmiş sürümler 25.1.1.3 ve 22.8R2.6. Ivanti’ye göre bu sürümler, zincirdeki üç açığın hepsini kapatıyor.
• 25.1.3.0 ve sonrası bu açıkları içermiyor. 22.7 ve öncesi de etkilenmiyor.
• CISA, ABD federal kurumlarına CVE-2026-111357 için 2 Kasım’a, CVE-2026-118527 için 13 Kasım’a kadar süre verdi.

Önerilen önlemler

Ivanti, 22.8 kullananlara 25.1.1.3 ya da sonrasına geçmelerini, hemen geçemeyenlerin 22.8R2.6’ya güncellemesini öneriyor. Şirkete göre 22.7 ve 22.8 dallarının desteği 31 Ocak 2027’de bitiyor ve müşterilerin bu tarihten önce 25.1 dalına geçmesi gerekiyor. 25.1.1.1 kullanan ISA6000 ve ISA8000 cihazlarının 25.1.1.3’e güncellenmesi gerekiyor.

Ivanti, cihazın ele geçirilip geçirilmediğini anlamak için Volexity’nin raporundaki göstergelerin incelenmesini ve Ivanti’nin bütünlük denetimi aracının (Integrity Checker Tool) düzenli olarak çalıştırılmasını öneriyor. Volexity, VPN cihazından başlayan yanal hareket denemeleri gibi ele geçirilme belirtileri gösteren sistemlerin adli olarak incelenmesini öneriyor.