CVE-2026-104935: Ivanti VPN kimlik doğrulama bypass zinciri, tamamen yamalanmış cihazlarda root'a ulaştı

Ivanti Connect Secure VPN cihazlarına yönelik bir saldırı zinciri, tek bir sahtelenmiş, kimlik doğrulaması gerektirmeyen isteği, olay anında tamamen yamalanmış bir sürümde root düzeyinde erişime dönüştürdü ve zincirin son halkasının hâlâ bir yaması yok. Dev.to'da yayımlanan ve Volexity'nin olay raporuna dayanan bir Netics Labs yazısına göre sömürü, 22.8R2.4 sürümünü çalıştıran bir cihaza 3 Ekim 2026'da başladı ve Ivanti, yamaları Volexity'nin açıklamasıyla eş zamanlı olarak 13 Ekim'de yayımladı.

Zincir nasıl çalışıyor

Connect Secure ağ kenarında yer alır, çalışanların uzaktan erişim tünellerini sonlandırır ve kullanıcıları kurumsal dizine karşı doğrular. İlk halka, cihazın istekleri ön uç süreçlerinden CGI işleyicilerine nasıl yönlendirdiğini istismar eder: Herkese açık oturum açma betiğine yönelik bir istek, gerçek hedefi olarak başka bir betiği adlandıran bir X-DSCGI-PATH başlığı taşıyabilir. URL, isteğe izin verilip verilmediğini belirlerken başlık, isteğin nereye gideceğini belirler; böylece kimlik doğrulaması gerektirmeyen bir istek, güvenilir bir çağrıcı varsayan bir betiğe ulaşabilir.

İkinci halka bu erişimi bir dosya yazımına dönüştürür. Yükleme işleyicisi, istemcinin sağladığı dosya adını hash'ler, içeriği bu hash'ten türetilen bir yola yazar ve ancak sonrasında yüklemenin geçerli bir arşiv olup olmadığını kontrol eder. .zip adı verilen bir Perl betiği kontrolü geçemez ve silinmek için kuyruğa alınır, ancak kaldırılmadan önceki kısa aralıkta paralel bir istek onu çalıştırabilir. Volexity, yüklemenin CGI sunucu kullanıcısı olarak çalıştığını ve bir Python aşamasını tamamen bellekte tuttuğunu açıklıyor.

Ivanti, ilk iki halkayı tek bir CVE altında, CVSS ölçeğinde 8,6 puan alan CVE-2026-104935 olarak takip etti.

Bakım servisi üzerinden root

Zincir, bir CVE'si ve yayımlanmış bir yaması olmayan bir yetki yükseltmesiyle sona eriyor. dsinvoked adlı ayrıcalıklı bir arka plan servisi bakım görevlerini root olarak yürütür ve her görevin programını paylaşılan bir yapılandırma deposu olan DSCache içinde arar. Saldırgan, bu deposunun düzenlenebilmesi için CGI sunucusunun bellekteki bir Ivanti kütüphanesi kopyamasını yamalar, mevcut bir bakım görevini Perl yorumlayucusunu başlatacak şekilde yeniden yapılandırır ve servisten onu çalıştırmasını ister. Ivanti, gelecekteki bir sürümde bir düzeltme vadetti; düzeltme gelene kadar yamalama giriş noktasını kapatır ancak yükseltmeyi, cihazda zaten kod çalıştırma imkânı olan herhangi bir saldırgana açık bırakır.

Ne çalındı

Uzaktan erişim cihazında root olmak, cihazın dizini sorgulamak için ihtiyaç duyduğu kimlik bilgilerini ele geçirir. Araştırma, Windows LAPS yerel yönetici parolalarını, BitLocker kurtarma anahtarlarını, userPassword ve unixUserPassword özniteliklerini ve oturum açma betiği yollarlarını alan içinde arayan, sonuçları geçici depoya yazan ve komutlarla aynı HTTPS kanalı üzerinden dışarı aktaran özel bir LDAP aracını tanımlıyor. Ayrı bir Kerberos aracı Kerberoasting ve kimlik bilgisi testini destekliyordu ve paket yakalama işlevi 389 numaralı porta, yani LDAP portuna yöneltilmişti.

Bütünlük denetleyicisinin kör noktası

Danışma belgesinin çalıştırılmasını önerdiği Ivanti'nin Integrity Checker Tool'u bu olayda dosya sisteminin temiz olduğunu bildirdi. Yazıya göre bunun nedeni, sömürünün kütüphane kodunu bellekte yaması ve ayrılmadan önce yapılandırma deposunu sömürü öncesi haline geri getirmesi; kayıtlar ise cihazın hata ayıklama günlüğünden ve Linux denetim günlüğünden temizlenmiş. Dolayısıyla temiz bir sonuç yalnızca diski tanımlar ve bu CVE için CESA kaydının adli triajı zorunlu kılması tam da bu yüzden: temiz bir sonuç, ele geçirilme ihtimalini ortadan kaldırmaz.

Düzeltilen sürümler ve son tarihler

Ivanti'nin düzeltme tablosuna göre sorunu gideren sürümler 25.1.1.2, 25.1.3.0, 25.1.3.1 ve 22.8R2.5. Etkilenen sürümler 25.1.1.1 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.4 ve öncesi; 22.7 hattı ve altındakiler etkilenmiyor, dolayısıyla işletmeciler bakım penceresi planlamadan önce sürümlerini tabloyla karşılaştırmalı.

Rapid7'nin analizi, bakım planlaması için önemli bir ayrıntı ekliyor: Hatanın bir kısmı Ivanti'nin kendi ürün güvenliği programı üzerinden keşfedildi ve 25.1.3.0'ın Temmuz 2026 sürümünde düzeltildi; kalan destekli hatlara geri taşımalar ise sömürü başladığında hâlâ devam ediyordu. En yeni kod hattı korunurken, bakım dallarında kalan temkinli işletmeciler korunmuyordu. Rapid7, etkilenen sürümlerdeki kuruluşlara güncellemeyi normal yama döngülerinin dışında, acil olarak uygulamalarını ve önceki sömürü belirtilerini kontrol etmelerini öneriyor.

Federal süre daha sıkı. CISA, CVE'yi 13 Ekim'de Known Exploited Vulnerabilities kataloğuna ekledi ve BOD 26-04 kapsamında federal sivil kurumlar için 16 Ekim düzeltme son tarihi belirledi.

Neden önemli

Bu olay, yamalanmış bir cihazın güvenli bir cihaz olduğu varsayımı için yararlı bir düzeltme. Hedef, yamaları açısından günceldi, hatanın bir kısmı aylar öncesinden yukarı akışta düzeltilmişti ve geri taşıma boşluğu desteklenen bakım dallarını açıkta bırakmıştı. Zincirin sonundaki yetki yükseltmesi hâlâ açık; bu da yamalamanın riski azalttığını ama ortadan kaldırmadığı ve başka herhangi bir şey kod çalıştırma imkânı verirse son aşamaya ulaşılabileceğini savunucuların kabul etmek zorunda olduğu anlamına geliyor. Bütünlük denetleyicisinin kör noktası bunu derinleştiriyor: işletmecileri rahatlatmak için tasarlanmış bir araç, ele geçirilmiş bir makinede hiçbir şey bildirmedi. Son olarak, tehlikede olan kimlik bilgileri (dizin servis hesapları, LAPS parolaları ve BitLocker anahtarları) etki alanını cihazın kendisinin çok ötesine taşıyor. Ivanti'nin kendi Ekim 2026 yama özeti, aynı ayda Citrix NetScaler ve FortiMail'de istismar edilen uç cihaz zafiyetlerini listeliyor; bu da VPN ve uç cihazların hâlâ tercih edilen bir giriş noktası olduğunu hatırlatıyor.