Ivanti Connect Secure zero-day zinciri saldırganlara kimlik doğrulamasız root erişimi verdi; bir açık hâlâ yamasız

Zincirlenen üç zero-day, bir açık çözüm

Güvenlik firması Volexity, 13 Ekim 2026 tarihinde bir saldırganın Ivanti Connect Secure'taki üç daha önce bilinmeyen açığı zincirleyerek, hiç kimlik bilgisi sunmadan bir VPN cihazında root olarak komut çalıştırdığını açıkladı. Volexity'nin incelediği cihaz 22.8R2.4 sürümünü çalıştırıyordu ve ele geçirildiğinde tamamen yamalanmıştı. UTA0576 olarak izlenen saldırgan, açıkları halka açık duyurudan on gün önce, 3 Ekim'de sözmeye başladı. Ivanti, sahadaki sınırlı sözmüyü kabul etti ve etkilenen sürümlerdeki müşterilerini derhareket etmeye çağırdı; ancak ne satıcı ne de Volexity kaç kuruluşun etkilediğini söyledi.

Zincir nasıl çalışıyor

Volexity'ye göre açıklardan ikisi — bir kimlik doğrulama atlatma ve bir uzaktan kod çalıştırma hatası — birlikte CVE-2026-104935 olarak izleniyor ve kimliği doğrulanmamış bir saldırganın cihazın cgi-server kullanıcısı olarak kod çalıştırmasına izin veriyor. Üçüncü açık bu erişimi root seviyesine yükseltiyor. Volexity üç sorunu da Ivanti'ye bildirdi.

Ivanti, CVE-2026-104935'i CVSS ölçeğinde 8.6 olarak derecelendiriyor. CISA, CVE kaydında sözmü durumunu aktif, teknik etkiyi ise toplam olarak listeliyor.

Ivanti ilk iki açık için düzeltmeleri yayınladı, ancak yetki yükseltme açığı hâlâ yamasız; düzeltmenin önümüzdeki haftalarda gelecek bir sürümde vadı edildi. Volexity'nin raporu, diğer ikisi düzeltilmiş bir cihazda açık kalan açığın hangi artık riski oluşturduğunu söylemiyor.

Hangi sürümler etkileniyor

Ivanti'nin doldurduğu CVE kaydı, Connect Secure için şu sınırları veriyor: 25.1.3.0'dan önceki sürümler etkileniyor; 22.7R2.14 ve öncesi etkilenmiyor; 22.8R2.5, 25.1.3.0 ve 25.1.3.1 etkilenmeyen sürümler olarak listeleniyor. 25.1.3.0 için sürüm notları Temmuz 2026 tarihli, dolayısıyla bu sürümü kullanan dağıtımlar etkilenen aralığın dışında. Volexity'nin araştırmasında ele geçirilen cihaz, etkilenmeyen 22.8R2.5'in bir adım altında olan 22.8R2.4 çalıştırıyordu.

Satıcının bütünlük denetimi neden görmüyor

Ivanti, müşterilerine yükseltme yapmalarını ve Integrity Checker Tool aracını düzenli olarak çalıştırmalarını tavsiye ediyor. Volexity, aracın bu saldırıyı tespit etmediğini söylüyor. Saldırı, kütüphane kodunu yalnızca bellekte değiştiriyor, dokunduğu yapılandırma verisini geri yükleyor ve saldırgan gizli kalmak için ek adımlar attı. Cihazda hiçbir arka kapı veya web shell bırakılmadı — UTA0576, bir komut çalıştırmak istediğinde her seferinde tüm sözmü zincirini yeniden çalıştırdı. Pratik sonuç şu: temiz bir Integrity Checker Tool sonucu ele geçirilmeyi dışlamıyor; Volexity, bir saldırıyı doğrulamanın ağ ve bellek adli bilişimi dahil adli inceleme gerektirdiğini söylüyor.

Saldırgan root ile ne yaptı

Volexity'nin araştırdığı tek olayda, VPN cihazı giriş noktası ve arkasındaki dizin hedefti. Saldırgan, cihazdan LDAP domain kimlik bilgileri dahil saklı kimlik bilgilerini çaldı, ardından Active Directory'de şifre aradı ve domain hesaplarına karşı parola püskürtme saldırıları düzenledi. Volexity, UTA0576'nın motivasyonunun casusluk değil suç olduğuna düşük güvenle değerlendiriyor — bu derecelendirme, tek olaydan elde edilen sınırlı kanıtı yansıtıyor.

Bu olaydan yayımlanan göstergeler arasında /dana-na/auth/url_default/welcome.cgi URL yoluna yapılan çok sayıda istek, bu isteklerde URL yolu ile eşleşmeyen değerli bir X-DSCGI-PATH HTTP başlığı, /data/.icscap/ dizini ve 108.165.147[.]64 IP adresi yer alıyor. Dördü de tek bir olaydan geliyor ve Volexity, diğer saldırıların aynı yolları veya altyapıyı paylaşip paylaşmadığını söylemedi.

İlgili duyurular ve açık sorular

Aynı Ivanti duyurusu, her biri 10 üzerinden 9.9 olarak derecelendirilmiş iki başka açığı daha kapsıyor: 2026.4 sürümünden önceki Xtraction'ta CVE-2026-106042 ve Neurons Patch for Intune'da CVE-2026-109412. Ivanti, ikisinin de söztüğünden haberdar olmadığını söylüyor.

Kamuya açık kayıtta birkaç soru hâlâ cevapsız. Yetki yükseltme düzeltmesi beklerken yükseltme yapamayan müşteriler için geçici bir çözüm yayımlanmadı. Ne Volexity ne de Ivanti, yükseltmenin halihazırda erişim kazanmış bir saldırganı sistemden atıp atmayacağını söyledi. Bir kurban sayısı yok ve yetki yükseltme açığına henüz bir CVE tanımlayıcısı atanmadı.

Neden önemli

Savunmacılar için temel ders rahatsız edici: tamamen yamalanmış bir uç cihaz kimlik bilgisi olmadan root seviyesine indirildi, sözmü halka açık duyurudan on gün önce başladı, satıcının kendi bütünlük aracı tekniği göremiyor ve üç açıklardan biri hâlâ düzeltilmemiş durumda. Etki alanı da cihazın çok ötesine uzandı, domain kimlik bilgilerine ve Active Directory hesaplarına ulaştı. Etkilenen Connect Secure sürümlerini çalıştıran kuruluşlar derhal düzeltilmiş bir sürüme yükseltmeli, temiz bir bütünlük denetimini tek başına yeterli görmemeli ve yayımlanan göstergeleri taşıyan cihazlar için — özellikle bellek ve ağ analizi olmak üzere — adli inceleme yapmayı düşünmeli.