Ivanti Connect Secure’da Üç Zafiyeti Zincirleyerek Kimlik Doğrulamadan Root Erişimi Kazanıyorlar

Görsel Kaynağı: The Hacker News

Amerika Birleşik Devletleri Siber Güvenlik ve Güvenlik Ajansı (CISA), Cuma günü vahşi ortamda aktif olarak sömürülmesinin ardından, Ivanti Connect Secure (ICS) etkileyen iki güvenlik açığını Bilinen Sömürülen Açıklar (KEV) kataloğuna ekledi.

Açıklar aşağıda listelenmiştir –

• CVE-2026-111357 (CVSS puanı: 8.8) – Yerel düzeyde kimliği doğrulanmış bir saldırganın ayrıcalıklarını artırmasına olanak tanıyabilecek, kritik bir işlev için eksik kimlik doğrulama açığı.
• CVE-2026-118527 (CVSS puanı: 4.3) – Uzakdan kim doğrulanmış bir saldırganın, saldırganın kontrolündeki içerikle dosyaları diskte bilinen bir konuma yüklemesine olanak tanıyabilecek, öngörülebilir sayı veya tanımlayıcı üretimi açığı.

Şu da belirtilebilir ki, güvenlik açıkları bu ayın başlarında Volexity tarafından belgelenen ve daha önce belgelenmeyen UTA0576 adlı bir tehdit aktörü tarafından kimlik doğrulama açığını (CVE-2026-104935, CVSS puanı: 8.6) silmeyle birleştiren bir saldırı zincirinin parçalarıdır. CVE-2026-104935, 13 Ekim 2026 tarihinde KEV kataloğuna eklenmiştir.

“Bu saldırı zinciri, kimlik doğrulama açığını, uzakdan kod yürütme (RCE) ve ayrıcalık artırma açığını birleştirerek kimlik doğrulanmamış kök düzeyinde kod yürütme sağlamıştır,” diye belirtti Volexity.

Böyle açıkları genellikle web kabukları veya kötü amaçlı yazılım yerleştirmek için sömüren diğer saldırıların aksine, UTA0576 bu açıkları kimlik bilgilerini ve sınırlı Active Directory meta verilerini çıkarmak; ana makine keşfini yürütmek; ve yönetici parolaları ve BitLocker geri yükleme anahtarlarını aramak için kullanmıştır.

Ivanti, ayrıntıların yayımlanmasıyla aynı civarda, saldırı zincirinde sömürülen yerel ayrıcalık artırma (LPE) açığı için düzeltmeler geliştirmeye hala çalıştığını belirtti. Hem CVE-2026-111357 hem de CVE-2026-118527 için yamalar, ICS’in aşağıdaki sürümlerinde artık mevcuttur –

• 25.1.1.2 ve öncesi (25.1.1.3’te düzeltildi)
• 22.8R2.5 ve öncesi (22.8R2.6’da düzeltildi)

“Sömürülmenin tespit edildiği anda, Ivanti’nin CVE-2026-104935 için geliştirdiği bir düzeltme zaten desteklenen sürümler için kalite güvence aşamasındaydı ve LPE (yerel ayrıcalık yükseltme) tespit edildiğinde, birincil sömürülme yolunu çözen bir düzeltmenin müşterilere ulaşmasını geciktirmeme kararı aldık,” dedi Ivanti.

“Bu nedenle, odaklanmamız başlangıçta CVE-2026-104935’in ifşa edilmesi ve müşterilerimize korumayı en kısa sürede sağlamaya yönelikti.”

Şirket, bu açığın bir bölümünü ürün güvenlik programı kapsamında tespit ettiğini ve bunu Temmuz ayında yayınlanan 25.1.3.0 sürümünde düzelttiğini; ayrıca sömürülme faaliyeti yaşanırken düzeltmeyi diğer desteklenen sürümlere geriye dönük olarak uygulamaya çalıştığını ekledi.

Son yayınlanan sürüm, vahşice zincirlenip gerçek dünyada sömürülen tüm açıkları kapsıyor. Federal Sivil Yönetim Kolu (FCEB) kurumlarının CVE-2026-111357 için 2 Kasım 2026’ya kadar, CVE-2026-118527 için ise 13 Kasım 2026’ya kadar düzeltmeleri uygulamaları gerekiyor.