Ivanti, uzaktan erişim ağ geçitlerinde (Connect Secure - ICS) tespit edilen ve Ekim 2026'nın başından bu yana zincirleme saldırılarda kullanıldığı ortaya çıkan iki yeni 'sıfırıncı gün' (Zero-day) açığını gidermek için acil güvenlik güncellemeleri yayınladı. Bu adım, saldırganların kurumsal ağlarda derin kontrol seviyelerine ulaşmak için kullandığı açıkları kapatmaya yönelik şirketin yürüttüğü çalışmaların bir parçasıdır.
Açıkların detayları ve zincirleme saldırı mekanizması
CVE-2026-111357 kodlu ilk açık, ayrıcalık yükseltmeye (Privilege Escalation) izin veren yüksek riskli bir kusur teşkil ederken, CVE-2026-118527 kodlu ikinci açık, kimliği doğrulanmış saldırganların güncellenmemiş cihazlara zararlı dosyalar yüklemesine olanak tanıyor. Saldırganlar, bu iki açığı, Ivanti'nin geçen ay yamaladığı kimlik doğrulama atlama açığı (CVE-2026-104935) ile birleştirerek kullandılar.
Şirket, başlangıçta ana saldırı yolu olduğu için kimlik doğrulama atlama açığını gidermeye odaklandığını, ancak daha sonra saldırganların sistemlerde kalıcı olmak için diğer açıkları da kullandığını keşfettiğini açıkladı. Ivanti, bu zincirleme yöntemin, kurumların tamamen korunduğunu düşündüğü cihazlarda bile saldırganların 'sistem kökü' (Root-level) seviyesinde komutlar çalıştırmasına olanak tanıdığını doğruladı.
Saldırganların davranışları ve gizlenme teknikleri
Saldırıları tespit eden siber güvenlik şirketi Volexity, UTA0576 olarak bilinen bir tehdit aktörünün bu operasyonların arkasında olduğunu ortaya koydu. Bu saldırıyı ayırt edici kılan nokta, saldırganların geleneksel zararlı yazılımlara veya web kabuklarına (Web Shells) güvenmek yerine, her komut yürütüldüğünde açığı yeniden kullanmaları ve Ivanti'nin bütünlük denetim araçları tarafından tespit edilmemek için sistem günlüklerini manipüle ederek izlerini silmeleridir.
Güvenlik istihbarat şirketi Defused da bu bulguları doğrulayarak, aktif sömürüye dair ilk işaretlerin 1 Ekim'de başladığını, bunun da saldırganların kritik altyapılardaki yeni keşfedilen açıklara ne kadar hızlı yanıt verdiğini gösterdiğini belirtti.
Resmi uyarılar ve küresel yayılım
Durumun ciddiyeti nedeniyle, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ana açığı bilinen sömürülen açıklar kataloğuna ekledi ve federal kurumlara sistemlerini derhal güncellemeleri talimatını verdi. Shadowserver gözlemevinin verileri, internete açık 5.000'den fazla ICS cihazı olduğunu gösteriyor ve şu ana kadar kaç cihazın gerçekten güvenli hale getirildiği belirsizliğini koruyor.
Bu haber neden büyük önem taşıyor?
Ivanti'nin uzaktan erişim ağ geçitleri, hassas verileri çalmak amacıyla büyük şirketlerin ağlarına doğrudan giriş sağladığı için özellikle devlet destekli siber casusluk gruplarının favori hedefidir. Burada pratikte değişen şey, saldırganların 'dosyasız saldırılar' (Fileless attacks) yoluyla daha gizli hale gelmiş olmalarıdır; bu da geleneksel tarama araçlarına güvenmeyi yetersiz kılmaktadır. Sistem yöneticileri sadece güncellemeleri yüklemekle kalmamalı, aynı zamanda Ekim ayının başından itibaren anormal bir etkinlik olup olmadığını kontrol etmek için erişim günlüklerini incelemelidir. Çünkü güncelleme açığı kapatır ancak sisteme zaten sızmış ve başka yollarla kalıcılık sağlamış bir saldırganı sistemden atmaz.