Alesta WEB
Kısa cevap: Ivanti, 13 Ekim 2026'da Connect Secure VPN ürünündeki CVE-2026-104935 açığını duyurdu. Açık bir kimlik doğrulama atlatma hatası (CVSS 8.6) ve kimliği doğrulanmamış bir saldırganın cihazda uzaktan komut çalıştırmasına izin veriyor. Saldırılar duyurudan önce, Ekim'in ilk haftasında başladı. CISA açığı aynı gün Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Etkilenen sürümler 25.1.1.1, 25.1.2.2 ve 22.8R2.4 ile öncesi; düzeltmeler 25.1.1.2, 25.1.3.0, 25.1.3.1 ve 22.8R2.5'te. CISA'ya göre Ivanti'nin bütünlük denetim aracı bu saldırıyı yakalamayabilir, çünkü komutlar bellekte çalışıyor.
Ne oldu? (What happened)
Ivanti Connect Secure (eski adıyla Pulse Connect Secure), kurumların çalışanlarına uzaktan erişim verdiği SSL VPN cihazı. Güvenlik firması Volexity, Ekim'in ilk haftasında güncel yamaları kurulu olan bir cihazdaki saldırıyı incelerken bu açığı buldu. Ivanti 13 Ekim'de açığı duyurdu; CISA da aynı gün kataloğa ekleyip ABD federal kurumlarına 16 Ekim son tarihini verdi.
Açığın türü "taklit yoluyla kimlik doğrulama atlatma" (authentication bypass by spoofing). Saldırı ağ üzerinden yapılıyor, karmaşıklığı düşük ve kullanıcı etkileşimi gerektirmiyor. Ivanti istismarın "sınırlı sayıda müşteride" görüldüğünü söylüyor. Yine de internetten erişilebilen en az 5.500 Connect Secure kurulumu olduğu tahmin ediliyor; bunların ne kadarının açık sürümde olduğu bilinmiyor.
watchTowr'a göre bu açıkla birlikte CISA KEV listesindeki Ivanti Connect Secure / Pulse Connect Secure açığı sayısı 15'e çıktı. Yani bu ürün ailesi, saldırganların düzenli olarak hedeflediği bir cihaz.
Etkilenen ve düzeltilmiş sürümler (Affected versions)
| Sürüm hattı | Açık sürümler | Düzeltilmiş sürüm |
|---|---|---|
| 25.1.1.x | 25.1.1.1 ve öncesi | 25.1.1.2 |
| 25.1.2.x / 25.1.3.x | 25.1.2.2 ve öncesi | 25.1.3.0, 25.1.3.1 |
| 22.8R2 | 22.8R2.4 ve öncesi | 22.8R2.5 |
| 22.7R2 | Etkilenmiyor (22.7R2.14 ve öncesi) | — |
Not: 22.7 ve ara sürüm 22.8 hattının desteği 31 Ocak 2027'de bitiyor. Ivanti bu tarihten önce 25.1'e geçilmesini öneriyor. Yani 22.x kullanan kurumlar şimdi yama yapsa bile birkaç ay içinde ikinci bir yükseltme planlamak zorunda.
Saldırı zinciri ve hedeflenen veriler (Exploit chain)
Volexity saldırıyı daha önce görülmemiş bir gruba bağladı ve UTA0576 adını verdi. Saldırganlar üç açığı arka arkaya kullandı:
- Kimlik doğrulama atlatma (CVE-2026-104935) ile cihaza oturum açmadan erişim,
- bir uzaktan kod çalıştırma açığı ile komut yürütme,
- bir yetki yükseltme açığı ile root düzeyinde kontrol.
Cihazı ele geçirdikten sonra hedef olarak LAPS parolaları (Windows yerel yönetici parolaları) ve BitLocker kurtarma anahtarları seçildi. CISA da saldırganların bu açığı kimlik bilgisi çalmak ve veri sızdırmak için kullandığını belirtiyor. VPN cihazı iç ağın kapısında durduğu için, buradan alınan bilgiler saldırgana etki alanındaki makinelere geçiş imkânı veriyor.
Önemli bir ayrıntı: CISA'ya göre saldırganın komutları bellekte çalıştığı için Ivanti'nin bütünlük denetim aracı (Integrity Checker Tool, ICT) bulguyu göstermeyebilir. "ICT temiz çıktı, sorun yok" demek bu olayda yeterli değil.
Ne yapmalı? Adım adım (What to do)
- Sürümü kontrol edin. Yönetim arayüzünde sistem bilgisinden kurulu sürümü okuyun ve yukarıdaki tabloyla karşılaştırın.
- Hemen yamayın. Rapid7, güncellemenin normal yama döngüsü beklenmeden, acil olarak uygulanmasını öneriyor. Donanım ve sanal cihaz için Ivanti'nin 25.x yükseltme ve geçiş uyumluluk kılavuzuna bakın.
- İz arayın. Volexity'nin yayımladığı saldırı göstergelerini (IoC) cihaz ve güvenlik duvarı günlüklerinde tarayın. CISA ağ ve bellek incelemesi (forensics) yapılmasını istiyor.
- Erişimi daraltın. Yönetim arayüzü internete açıksa yalnız belirli IP adreslerine kısıtlayın.
- LAPS ve BitLocker kayıtlarını gözden geçirin. Saldırının hedefi bu veriler olduğu için, son haftalarda bu anahtarlara erişim kayıtlarını kontrol edin.
Cihaz ele geçirildiyse kurtarma (Recovery)
CISA'nın önerdiği kurtarma sırası şöyle:
- Cihaz yapılandırmasını yedekleyin.
- Fabrika ayarlarına döndürün ve en güncel sürüme yükseltin. Bulut veya sanal kurulumda örneği yeniden oluşturup yükseltin.
- Yapılandırmayı yedekten geri yükleyin.
- Etki alanı, yönetici ve yerel olmak üzere tüm hesapların parolalarını sıfırlayın.
- Cihazda saklanan sertifikaları iptal edip yeniden üretin; kayıtlı API anahtarlarını ve lisans sunucusu kimlik bilgilerini yenileyin.
Saldırının BitLocker kurtarma anahtarlarını hedeflediği düşünülürse, etkilenen makinelerde bu anahtarların da yeniden üretilmesi mantıklı bir ek önlem.
Alesta WEB olarak sunucu bakımlarında aynı ilkeyi uyguluyoruz: uzaktan erişim cihazı ya da paneli internete açıksa, yönetim girişini yalnız bilinen adreslere açıyor ve sürüm güncellemesini kritik açık duyurusu geldiği gün yapıyoruz.
Sık sorulan sorular
Ivanti Connect Secure kullanmıyorum, etkileniyor muyum?
Hayır. Açık yalnız Ivanti Connect Secure'u etkiliyor. Ancak başka bir VPN veya uzaktan erişim cihazı kullanıyorsanız, onun da güncel olduğunu kontrol etmek için iyi bir zaman.
22.7 sürümündeyim, güvende miyim?
Bu açık açısından evet, 22.7R2.14 ve öncesi etkilenmiyor. Ama 22.7 hattının desteği 31 Ocak 2027'de bitiyor; 25.1'e geçişi planlayın.
Bütünlük denetim aracı temiz sonuç verdi, yeterli mi?
Hayır. CISA, komutlar bellekte çalıştığı için aracın istismarı göstermeyebileceğini açıkça söylüyor. Günlük incelemesi ve IoC taraması da yapılmalı.
Yamadan sonra başka ne yapmalıyım?
Cihazın ele geçirilmediğinden emin değilseniz kurtarma adımlarını uygulayın: fabrika ayarı, yükseltme, parola ve sertifika yenileme.
Kaynaklar (References)
İlgili yazılar: NetScaler CVE-2026-88779 açığı · FortiMail CVE-2026-104286 · Ekim 2026 Patch Tuesday · Web hosting · İletişim
Kapak fotoğrafı: Jordan Harrison / Unsplash
