Ivanti, Connect Secure uzaktan erişim cihazlarını hedef alan saldırılarda kullanılan iki yeni sıfır gün güvenlik açığı için güvenlik güncellemeleri yayınladı. CVE-2026-111357 CVE-2026-118527 kodlarıyla izlenen açıkların, daha önce yamalanan kimlik doğrulama atlatma güvenlik açığıyla birlikte en az 1 Ekim 2026’dan yana istismar edildiği bildirildi. Kuruluşların ağ güvenliğini korumak için desteklenen yazılım sürümlerini güncellemesi cihazlardaki olası ihlal belirtilerini incelemesi gerekiyor.
Ivanti Connect Secure Açıklarında Üçlü Saldırı Zinciri Ortaya ÇıktıSiber saldırganlar, Ivanti Connect Secure sistemlerine yönelik saldırılarda üç güvenlik açığını birlikte kullandı. Zincirin ilk aşamasında yer alan CVE-2026-104935 kodlu kimlik doğrulama atlatma açığı, Ivanti tarafından ekim ayında giderildi. Şirket, söz konusu açığın sınırlı sayıda gerçek saldırıda kullanıldığını tespit etmesinin ardından yöneticilere güncellemeyi gecikmeden yüklemeleri çağrısında bulundu.
İnternete açık Ivanti ICS örnekleriYeni açıklanan CVE-2026-111357, yüksek önem derecesine sahip ayrıcalık yükseltme güvenlik açığı olarak sınıflandırıldı. CVE-2026-118527 ise kimliği doğrulanmış saldırganların güncellenmemiş cihazlara dosya yüklemesine izin veriyor. Saldırganların iki açığı daha önce açıklanan kimlik doğrulama atlatma sorunuyla birleştirmesi, Connect Secure cihazlarına yönelik saldırı zincirinin farklı aşamalarında birden fazla güvenlik zafiyetinden yararlandıklarını gösteriyor.
Ivanti, önceki açığa yönelik düzeltmeyi hazırlarken güvenlik sorunlarının ortaya çıktığını belirtti. Şirket, CVE-2026-104935 için çözümün desteklenen sürümlerde kalite güvence aşamasında bulunduğunu, nedenle temel saldırı yolunu kapatan güncellemeyi geciktirmeden kullanıcılara sunmayı tercih ettiğini açıkladı. Şirketin ilk aşamadaki önceliği, müşterilerin korunmasını hızlandırmak.
Güvenlik araştırma şirketi Volexity, CVE-2026-104935 açığını keşfeden kuruluş olarak saldırı zincirine ilişkin ayrıntılar tı. Şirketin raporuna göre UTA0576 olarak takip edilen tehdit aktörü, en az 3 Ekim 2026’dan itibaren söz konusu güvenlik açığını iki açıkla birlikte kullanarak güncellenmiş Connect Secure cihazlarında kimlik doğrulaması gerektirmeyen, kök düzeyinde kod çalıştırma yeteneği elde.
Volexity’nin açıklamasında saldırganların geleneksel kötü amaçlı yazılım veya web kabuğu yerleştirmediği belirtildi. Bunun yerine tehdit aktörü, çalıştırdığı her komut için cihaza yeniden erişti faaliyetlerini gizlemek amacıyla günlük kayıtlarını değiştirdi. yöntem, saldırganların cihazda kalıcı web kabuğu bırakmadan işlem yapmasına Ivanti’nin Integrity Checker Tool aracının tespitinden kaçınmasına yardımcı.
Tehdit istihbaratı şirketi Defused Volexity’nin bulgularını destekledi. Kuruluş, CVE-2026-104935 açığının aktif olarak istismar edildiğine ilişkin ilk işaretleri 1 Ekim 2026’ gözlemlediğini bildirdi. İki farklı güvenlik kuruluşunun bulguları, saldırıların yeni yamaların yayınlanmasından önce başladığına işaret ediyor.
ABD Siber Güvenlik Altyapı Güvenliği Ajansı (CISA), salı günü CVE-2026-104935 güvenlik açığını bilinen aktif olarak istismar edilen güvenlik açıkları kataloğuna dahil. Ajans, federal kurumlara sistemlerini cuma gününe kadar güncelleme talimatı verdi.
İnternet üzerindeki tehditleri izleyen Shadowserver verilerine göre internete açık 5.000’den fazla Ivanti Connect Secure örneği takip ediliyor. Ancak cihazların kaçının saldırılara karşı güvence altına alındığına ilişkin doğrulanmış sayı ılmadı. İnternete doğrudan açık uzaktan erişim ağ geçitleri, kurumların iç ağlarına ulaşmak isteyen saldırganlar için önemli hedefler arasında yer alıyor.
Kuruluşların yalnızca yazılım güncellemesini yüklemesi değil, cihaz günlüklerini güvenlik kayıtlarını incelemesi gerekiyor. Özellikle saldırganların günlükleri değiştirebildiğine ilişkin bulgular, standart bütünlük kontrollerinin tek başına yeterli olmayabileceğini gösteriyor. Güvenlik ekiplerinin mevcut tehdit göstergelerini değerlendirmesi şüpheli erişimleri araştırması, olası ihlallerin belirlenme
