Ivanti Connect Secure’da İki Yeni Açık: CVE-2026-111357 ve CVE-2026-118527 CISA KEV Listesinde, Ekim Yaması Yetmiyor

Ne değişti? (What changed)

Ivanti Connect Secure, kurumların uzaktan erişim için kullandığı SSL VPN cihazı. 13 Ekim'de kimlik doğrulama atlatma açığı CVE-2026-104935 (CVSS 8.6) duyurulmuş ve aynı gün CISA'nın KEV listesine girmişti. O tarihteki yama rehberini ayrı bir yazıda anlatmıştık.

Volexity'nin incelemesi, saldırganın bu açığı tek başına değil, başka iki açıkla birlikte kullandığını gösterdi. Ivanti 29 Ekim'de güvenlik bildirimini güncelledi, iki açığa ayrı CVE numarası verdi ve yeni yama yayımladı. CISA da 30 Ekim'de iki açığı KEV listesine ekledi ve 13 Ekim tarihli uyarısını yeni sürüm aralıklarıyla güncelledi.

Önemli nokta: ilk yamada yer alan 25.1.1.2 ve 22.8R2.5 sürümleri artık etkilenen sürümler listesinde.

İki yeni açık (CVE-2026-111357, CVE-2026-118527)

CVE	CVSS	Ne yapıyor
CVE-2026-104935	8.6	Kimlik doğrulamasız erişim ve komut çalıştırma (13 Ekim)
CVE-2026-111357	8.8	Yetki yükseltme; CISA kaydında "kritik işlev için eksik kimlik doğrulama"
CVE-2026-118527	4.3	Tahmin edilebilir dosya adları; oturum açmış saldırganın bilinen bir konuma dosya yazması

CVSS puanı düşük olan CVE-2026-118527 tek başına küçük görünüyor, ama zincirin ortasında saldırganın kendi betiğini cihaza koymasını sağlayan halka bu.

Saldırı zinciri nasıl işliyor? (Exploit chain)

Volexity, saldırganı UTA0576 adıyla izliyor. İlk istismar 3 Ekim 2026'da, o tarihte tüm yamaları kurulu 22.8R2.4 sürümlü bir cihazda görüldü. Raporlara göre zincir üç adımdan oluşuyor:

1. Kimlik doğrulama atlatma: Herkese açık giriş sayfasına gelen isteklerde yönlendirme başlığı oynanarak korumalı CGI betiklerine oturum açmadan ulaşılıyor.
2. Dosya yükleme: Yükleme işleyicisi dosyanın geçerli bir ZIP olup olmadığını denetlemeden önce diske yazıyor. Saldırgan, dosya silinmeden önceki kısa aralıkta paralel isteklerle Perl betiğini çalıştırıyor.
3. Yetki yükseltme: Yetkili bir servis, bellekteki bakım görevi ayarlarına güveniyor. Saldırgan bu ayarı değiştirip kendi kodunu root olarak çalıştırıyor, sonra ayarı ve belleği eski hâline getiriyor.

Cihaza erişimden sonra saldırganın cihazdaki kimlik bilgilerini aldığı, Active Directory servis hesabıyla dizin sorguladığı, Windows LAPS yönetici parolalarını ve BitLocker kurtarma anahtarlarını hedeflediği bildirildi. Bu saldırıda web kabuğu ya da kalıcı arka kapı bırakılmadı; işlemler bellekte yapıldı ve günlük kayıtlarından seçerek silme yapıldı. Volexity'nin uyarısı açık: temiz çıkan bir bütünlük denetimi tek başına cihazın ele geçirilmediğini göstermiyor.

Etkilenen ve düzeltilmiş sürümler (Affected and fixed versions)

Sürüm hattı	Etkilenen (CISA, 30 Ekim)	Düzeltilmiş (Ivanti, 29 Ekim)
25.1.1.x	25.1.1.2 ve öncesi	25.1.1.3
25.1.2.x	25.1.2.2 ve öncesi	Ivanti bildirimindeki geçiş yolu
22.8R2	22.8R2.5 ve öncesi	22.8R2.6

Hangi sürüme geçileceği donanım ve kurulum türüne göre değişiyor; Ivanti'nin 25.x yükseltme ve geçiş uyumluluk rehberine bakılmalı. Sürüm numaralarını uygulamadan önce Ivanti'nin kendi bildiriminden doğrulayın. Ayrıca 22.8 hattının destek süresi 31 Ocak 2027'de bitiyor; bu hattaki cihazlar için 25.x geçişini şimdiden planlamak gerekiyor.

Şimdi ne yapılmalı? (What to do now)

1. Sürümü kontrol edin. Ekim başında yama kurduysanız bile listede olup olmadığınıza bakın.
2. Yükseltin. 25.1.1.3 ya da 22.8R2.6'ya, ya da Ivanti'nin önerdiği güncel sürüme.
3. Ele geçirilme belirtisi arayın. CISA, saldırgan komutları bellekte çalıştığı için bütünlük denetim aracının yetmeyebileceğini, ağ ve bellek incelemesi yapılması gerektiğini söylüyor.
4. Şüphe varsa sıfırlayın. CISA'nın önerdiği sıra: yapılandırmayı yedekle, fabrika ayarlarına döndür ve güncel sürüme yükselt (sanal ve bulut kurulumda örneği yeniden oluştur), yapılandırmayı geri yükle.
5. Kimlik bilgilerini yenileyin. Etki alanı, yönetici ve yerel hesapların parolaları; cihazda saklanan sertifikalar, API anahtarları ve lisans sunucusu bilgileri. Cihazın kullandığı AD servis hesabı ile LAPS ve BitLocker bilgilerinin açığa çıkıp çıkmadığı ayrıca değerlendirilmeli.

Sık sorulan sorular

13 Ekim'de yama kurdum, yine etkileniyor muyum?

Büyük olasılıkla evet. 25.1.1.2 ve 22.8R2.5 artık etkilenen sürümler arasında. Yeni sürüme geçmeniz gerekiyor.

Bütünlük denetimi temiz çıktı, yeterli mi?

Hayır. Saldırı bellekte çalıştığı ve ayarlar eski hâline döndürüldüğü için disk tabanlı denetim izleri göremeyebilir.

Kaç kurum etkilendi?

Ivanti "sınırlı sayıda müşteri" diyor, sayı vermiyor.

İlgili sayfalar: Ivanti CVE-2026-104935 · PAN-OS CVE-2026-0322 · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: ProjectManhattan / Wikimedia Commons (CC BY-SA 3.0)