Ivanti, aktif saldırılarda istismar edilen yüksek önem dereceli bir kimlik doğrulama atlatma açığı olan sıfırıncı gün açığı CVE-2026-104935’in ortaya çıkmasının ardından müşterilerini Ivanti Connect Secure uzaktan erişim ağ geçidini derhal güncellemeye çağırdı. Açık, 22.8R2.4 ve önceki sürümleri, 25.1.2.2 ve önceki sürümleri ile 25.1.1.1 ve önceki sürümleri etkiliyor.
Açık, yetkisiz saldırganların herhangi bir kullanıcı etkileşimi gerektirmeyen, düşük karmaşıklıklı saldırılar yoluyla hedef cihazlarda rastgele komutlar çalıştırmasına olanak tanıyor. Daha önce Pulse Connect Secure, ondan önce de Juniper Pulse olarak bilinen Connect Secure; çalışanlara, yüklenicilere ve hibrit çalışma ekiplerine şirket kaynaklarına ve bulut hizmetlerine güvenli erişim sağlamak için kullanılıyor.
Çok aşamalı istismar
Ivanti, açıklama sırasında internet ortamında açığın sınırlı ölçekte istismar edildiğini gözlemlediğini belirtti ve müşterilerini güvenlik duyurusunu incelemeye, düzeltilmiş bir sürüme yükseltme yapmaya ve Integrity Checker aracını düzenli olarak çalıştırmaya çağırdı. Ancak açığı keşfeden ve bildiren Volexity, UTA0576 adıyla izlediği kimliği belirsiz bir tehdit aktörünün açığı en az 3 Ekim’den beri kullandığını söyledi. Şirket, bu açığı tamamen güncellenmiş cihazlarda bile kimlik doğrulama olmadan kök ayrıcalıklarıyla kod çalıştırmak için kullanılan iki ek açıkla ilişkilendirdi.
Volexity’ye göre saldırgan, kalıcı kötü amaçlı yazılımlar veya web kabukları yerleştirmedi; bunun yerine her komutu çalıştırmak için cihazı yeniden istismar etti, izlerini gizlemek amacıyla günlüklerle oynadı ve Ivanti’nin Integrity Checker aracını atlatmayı başardı. Defused şirketi de açığın gerçek dünyada istismar edildiğine ilişkin ilk göstergeleri 1 Ekim’de gözlemlediğini doğruladı.
Pratikte ne değişiyor?
Risk, yalnızca mevcut açığa yönelik yamanın yüklenmesiyle sınırlı değil. Ivanti, aynı zincir kapsamında kullanılan bir ayrıcalık yükseltme açığını ele alma çalışmalarının hâlâ sürdüğünü belirtti. Bu nedenle etkilenen cihazların operatörleri güvenlik duyurusunun tamamını izlemeli, sistemlerin ve günlüklerin bütünlüğünü doğrulamalı ve Integrity Checker denetimini geçmeyi tek başına cihazda oynama yapılmadığının yeterli kanıtı olarak görmemeli.
Shadowserver, internete açık 5.500’den fazla Connect Secure instance’ını izliyor. Ancak bunların kaçının honeypot olduğunu veya hangilerinin zaten güvence altına alındığını belirlemeye yarayan bilgiler mevcut değil. Bu durum, özellikle uzaktan erişim ağ geçitleri internet ile kurum ağları arasındaki sınırda yer aldığı için, açıkta bulunan varlıkların belirlenmesini ve güncellemelerinin önceliklendirilmesini daha önemli hâle getiriyor.
Hedef alınan bir ürün için tekrarlanan bağlam
Ivanti, son yıllarda saldırılarda istismar edilen Connect Secure ürünündeki birkaç sıfırıncı gün açığını düzeltti. Bunlar arasında Ocak 2024’teki CVE-2023-46805 ve CVE-2024-21887, aynı ayın ilerleyen günlerinde CVE-2024-21893 ve ayrıca 2025’teki CVE-2025-0282 ile CVE-2025-22457 uzaktan kod çalıştırma açıkları bulunuyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA da Kasım 2021’den bu yana Ivanti ürünlerinde aktif olarak istismar edilen 36 açık bulunduğunu, fidye yazılımı çetelerinin bunların 12’sini kötüye kullandığını belirledi.
certi.news okuması: Buradaki fiilî değişim, kimlik doğrulama atlatma açığının açıklama kapsamından çıkarak saldırgana yüksek ayrıcalıklarla komut çalıştırma yeteneği sağlayan pratik bir istismara dönüşmesi ve doğrulama araçlarından kaçınmaya yardımcı olan yöntemlere ilişkin göstergelerin ortaya çıkmasıdır. Bununla birlikte istismarın kapsamı ve gerçekten ele geçirilen cihazların sayısı hâlâ kesinleşmiş değil. Bu da güncelleme ile etkilenen sistemlerin adli incelemesini birbirinin alternatifi olmayan, paralel yürütülmesi gereken iki adım hâline getiriyor.