Ivanti Connect Secure'da sıfırıncı gün: tam yamalı VPN cihazları zincirleme saldırıyla ele geçirildi

Ivanti, kurumların yaygın kullandığı Connect Secure (ICS) SSL VPN ürününde saldırılarda kullanılan bir kimlik doğrulama atlatma açığını duyurdu. CVE-2026-104935 kimlikli açık, kimliği doğrulanmamış ve yetkisi olmayan uzak saldırganlar tarafından, kullanıcı etkileşimi gerektirmeden ve düşük karmaşıklıkla istismar edilebiliyor. CISA açığı duyurunun yapıldığı 13 Ekim'de KEV kataloğuna ekledi.

Etkilenen sürümler

• ICS 22.8R2.4 ve öncesi
• ICS 25.1.2.2 ve öncesi
• ICS 25.1.1.1 ve öncesi

Ivanti, müşterilerini bildirimdeki düzeltilmiş sürüme geçmeye çağırdı ve "sınırlı sayıda" istismardan haberdar olduğunu belirtti.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Zincirin tamamı tek yamayla kapanmıyor

Volexity'ye göre UTA0576 olarak izlenen tehdit aktörü, açığı en az 3 Ekim'den beri iki başka hatayla birlikte kullanarak tam yamalı cihazlarda kimlik doğrulamasız, root düzeyinde kod çalıştırdı. Defused ise ilk istismar belirtilerini 1 Ekim'de gördüğünü açıkladı. Duyuru sırasında zincirdeki iki açık yamalanmışken bir yetki yükseltme açığı henüz düzeltilmemişti.

Integrity Checker Tool'u atlatan saldırgan

Saldırının en endişe verici yanı iz bırakmaması. Volexity'nin bulgularına göre aktör cihaza zararlı yazılım ya da web shell bırakmadı; her komut için cihazı yeniden istismar etti ve logları değiştirdi. Bu yöntemle Ivanti'nin Integrity Checker Tool (ICT) aracının tespitinden kaçındı. Ivanti ICT'nin düzenli çalıştırılmasını önermeye devam etse de bu saldırı özelinde aracın tek başına yeterli olmayabileceği görülüyor.

Shadowserver, internete açık 5.500'den fazla ICS örneği izliyor.

Ne yapılmalı?

• Connect Secure cihazlarını Ivanti bildirimindeki düzeltilmiş sürüme hemen yükseltin.
• Zincirdeki kalan açık için Ivanti'nin güncellemelerini takip edin ve yayımlandığında gecikmeden kurun.
• ICT taramalarını sürdürün, ancak sonuçlara tek başına güvenmeyin; VPN cihazından iç ağa doğru olağan dışı bağlantıları ve kimlik doğrulama kayıtlarını ayrıca inceleyin.
• Logları cihaz dışına, merkezi bir SIEM'e aktararak saldırganın log manipülasyonunun etkisini azaltın.