Ivanti Connect Secure'da sıfırıncı gün zinciri: Root erişimi sağlandı, bir açık hâlâ yamasız

Ivanti, Connect Secure (ICS) VPN cihazlarında aktif olarak istismar edilen ve CVE-2026-104935 olarak izlenen sıfırıncı gün açığı için düzeltme yayımladı. BleepingComputer, The Hacker News ve SecurityWeek'in aktardığına göre güvenlik firması Volexity, bir saldırganın bu açığı iki başka hatayla zincirleyerek tam güncel bir cihazda kimlik doğrulaması olmadan root yetkisiyle kod çalıştırdığını tespit etti. Zincirin halkalarından biri olan yetki yükseltme açığı ise henüz yamalanmadı. CISA, CVE-2026-104935'i 13 Ekim'de Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.

Neler oldu?

Yayınlara göre Volexity, müşterilerinden birindeki bir olayı incelerken saldırıyı fark etti ve açıkları Ivanti'ye bildirdi. Firma, daha önce belgelenmemiş aktörü UTA0576 adıyla izliyor ve istismarın 3 Ekim'de başladığına dair kanıt buldu. BleepingComputer'ın haberine göre Defused da bulguları doğruladı ve istismarı ilk kez 1 Ekim'de gördüğünü açıkladı. Ivanti, sınırlı sayıda müşteriyi etkileyen "sınırlı bir istismardan" haberdar olduğunu ve etkilenen kurumlarla doğrudan çalıştığını belirtti. Kaç kurumun hedef alındığı açıklanmadı.

Volexity, aktörün casusluktan çok maddi motivasyonla hareket ettiğini düşük güvenle değerlendiriyor. SecurityWeek'e göre firma, UTA0576'nın istismar geliştirme ve sonraki aşamalarda büyük dil modellerinden yararlandığını da orta güvenle değerlendiriyor.

Teknik detaylar

The Hacker News'in aktardığına göre CVE-2026-104935, zincirdeki üç açıktan ikisini, yani kimlik doğrulama atlatma ve uzaktan kod çalıştırma hatalarını kapsıyor. Bu ikisi birlikte saldırganın cihazda cgi-server kullanıcısı olarak kod çalıştırmasını sağlıyor. Ivanti açığa 10 üzerinden 8,6 puan verdi. Üçüncü açık bu erişimi root seviyesine yükseltiyor; Volexity'ye göre Ivanti bunu "önümüzdeki haftalarda" düzeltmeyi planlıyor.

Saldırgan web shell veya arka kapı bırakmadı. Bunun yerine her komut için zinciri baştan çalıştırdı, kütüphane kodunu yalnızca bellekte değiştirdi ve kayıtları manipüle etti. Bu yöntem, Ivanti'nin Integrity Checker Tool aracını atlatmasını sağladı. Volexity, ele geçirilmenin ancak ağ ve bellek adli incelemesiyle doğrulanabileceğini söylüyor. The Hacker News'in paylaştığı göstergeler arasında /dana-na/auth/url_default/welcome.cgi adresine yapılan ve URL yoluyla uyuşmayan X-DSCGI-PATH başlığı taşıyan çok sayıda istek, /data/.icscap/ dizini ve 108.165.147[.]64 IP adresi yer alıyor.

SecurityWeek'e göre UTA0576 içeri girdikten sonra cihazda saklanan alan adı kimlik bilgilerini çaldı, Active Directory'de LAPS parolalarını ve BitLocker kurtarma anahtarlarını aradı, parola püskürtme saldırıları yaptı ve ağı taradı. Volexity, aktörün ağda yatay hareket için hazırlık yaptığını yüksek güvenle değerlendiriyor.

Kimler etkileniyor?

BleepingComputer, ICS 22.8R2.4 ve öncesi, 25.1.2.2 ve öncesi ile 25.1.1.1 ve öncesi sürümlerin etkilendiğini bildiriyor. Shadowserver internete açık 5.500'den fazla ICS örneği izliyor; ancak bunların ne kadarının bal küpü veya zaten korunmuş olduğu belli değil.

Ne yapmalı?

Ivanti, etkilenen sürümleri kullanan müşterilerin "derhal harekete geçmesini" ve 22.8R2.5, 25.1.1.2, 25.1.3.0 veya 25.1.3.1 sürümlerine yükseltmesini istiyor. Yetki yükseltme açığı hâlâ açık olduğu ve zincir Integrity Checker Tool'a yakalanmadığı için kurumların yayımlanan göstergeleri taraması, VPN ve kimlik doğrulama kayıtlarında parola püskürtme izlerini incelemesi ve LDAP hizmet hesapları dahil cihazda saklanan kimlik bilgilerini değiştirmesi önerilir. Ivanti aynı duyuruda Xtraction'daki CVE-2026-106042 ile Neurons Patch for Intune'daki CVE-2026-109412 açıklarını da kapattı; 9,9 puanlı bu açıkların istismar edildiği bilinmiyor.