Ivanti şirket logosu (temsili)

Siber Güvenlik Başkanlığı (SGB), kurumların uzaktan erişim (VPN) için kullandığı Ivanti Connect Secure'daki CVE-2026-104935 açığı için 19 Ekim 2026'da TR-26-1356 koduyla ayrıntılı güvenlik duyurusu yayımladı. Giriş yapmadan cihazda komut çalıştırmaya izin veren açık gerçek saldırılarda kullanıldı. SGB'ye göre güncelleme tek başına yetmiyor; etkilenen sürümü internete açık çalıştıran kurumların cihazı ve bağlı hesapları olası ihlal açısından incelemesi gerekiyor.

Ivanti Connect Secure, kurumsal ağlara dışarıdan güvenli erişim sağlayan ve doğrudan internete açık çalıştığı için ağın ana giriş kapılarından biri sayılan bir VPN yazılımıdır. Tespit edilen açık, sahtecilik yoluyla kimlik doğrulama denetimlerinin atlatılmasına (CWE-290) ve kimlik doğrulaması olmaksızın komut yürütülmesine dayanıyor. Olay müdahale araştırmalarına göre saldırganlar, giriş sayfası betiği welcome.cgi üzerindeki isteklerde X-DSCGI-PATH başlığını kullanarak trafiği başka bir betiğe yönlendiriyor ve dosya yükleme mekanizmasındaki yarış durumuyla cgi-server kullanıcısı yetkilerinde uzaktan kod çalıştırabiliyor.

Gerçek Saldırılarda Kullanıldı

SGB'nin aktardığı Volexity araştırmasına göre UTA0576 olarak izlenen saldırgan, o tarihte en güncel sürüm olan 22.8R2.4'ü çalıştıran bir cihazı 3 Ekim 2026'dan itibaren defalarca istismar etti. Bulgular tek bir kurumdaki ihlale dayanıyor; etkilenen başka kurumların sayısı açıklanmadı. Ivanti duyurusu ve CVE kaydı 13 Ekim 2026'da yayımlandı; açık aynı gün CISA bilinen istismar kataloğuna eklendi. Gözlenen saldırıda root yetkisi bu açığın doğrudan sonucu değil; saldırgan, CVE numarası ve düzeltmesi henüz yayımlanmamış ayrı bir yetki yükseltme açığını da kullandı. Ardından cihazda saklanan LDAP ve etki alanı kimlik bilgileri alındı, cihazın Active Directory hizmet hesabıyla LAPS parolaları ve BitLocker kurtarma bilgileri sorgulandı, kayıtlardaki bazı girdiler silindi. SGB'ye göre üreticinin bütünlük kontrol aracı bu saldırıyı görmeyebilir.

Düzeltilen Sürümler

Sürüm 22.7R2.14 ve öncesi bu açıktan etkilenmiyor. 22.x serisinin desteği 31 Ocak 2027'de sona ereceği için üretici 25.x serisine geçişi öneriyor; root yetkisine yol açan yetki yükseltme açığına yönelik düzeltmenin ise önümüzdeki haftalarda çıkması bekleniyor.

Alınması Gereken Önlemler

Üretici geçici bir çözüm yayımlamadı. SGB, üretici onaylı olmamakla birlikte genel savunma adımları olarak ters vekil veya web uygulaması güvenlik duvarı (WAF) üzerinde X-DSCGI-PATH başlığının engellenmesini ya da kayda alınmasını öneriyor. Cihazın Active Directory hizmet hesabının yetkilerinin daraltılması, iç ağa yönelik LDAP ve Kerberos trafiğinin izlenmesi ve ihlal şüphesinde cihaz yeniden başlatılmadan önce bellek ile disk kanıtlarının korunması tavsiye ediliyor. Tespit için /dana-na/auth/url_default/welcome.cgi yoluna yoğun istekler incelenmeli ve geriye dönük inceleme 3 Ekim 2026'dan başlatılmalıdır. Olay müdahale bulgularında /data/.icscap/, /tmp/ml.py ve /tmp/rq5.py gibi yollar gösterge olarak yer alıyor; SGB, bu dosyaların bulunmamasının ihlal olmadığı anlamına gelmediğini vurguluyor.

Açığın CVSS puanı 8,6 (Yüksek) olarak hesaplandı; istismar olasılık tahmini sunan EPSS değeri yaklaşık yüzde 26; bu bir kanıt değil, yalnızca tahmin. Tuzak sistemlerde 14–18 Ekim arasında 60 farklı IP adresinden 125 istismar denemesi kaydedildi; bu, ele geçirilen cihaz olduğu anlamına gelmiyor. Kamuya açık bir istismar kodu iddiası da var ancak doğrulanmadı ve zararlı yazılım içerebileceği uyarısı yapıldı. SGB, farklı Ivanti ürünlerindeki açıklar için de daha önce TR-26-1322 numaralı bildirimi yayımlamıştı.

Kaynaklar

Kapak görseli (temsili): Ivanti logosu — Ivanti / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).