ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ivanti Connect Secure’daki iki açığı, CVE-2026-111357 ve CVE-2026-118527’yi, 30 Ekim 2026’da bilinen istismar edilen açıklar (KEV) kataloğuna ekledi. Üçüncü açık, CVE-2026-104935, kataloğa 13 Ekim’de girmişti. CISA, 13 Ekim’de yayımladığı uyarıyı 30 Ekim’de güncelleyerek üç açığı birlikte ele aldı.
Ne oldu
CISA’ya göre bu üç açık, tehdit aktörleri tarafından istismar ediliyor. Birlikte kullanıldıklarında uzaktan ve kimlik doğrulaması olmadan rastgele komut çalıştırmaya imkân veriyorlar; CISA saldırganların bunu kimlik bilgisi hırsızlığı ve veri sızdırma için kullandığını belirtiyor.
Katalog kayıtlarına göre iki yeni açığın niteliği şöyle:
- CVE-2026-118527: Tahmin edilebilir sayı ya da tanımlayıcı üretimi. Kimlik doğrulaması yapmış uzaktaki bir saldırgan, içeriğini kendisinin belirlediği dosyaları diskte bilinen bir konuma yükleyebiliyor.
- CVE-2026-111357: Kritik bir işlevde eksik kimlik doğrulama. Yerel ve kimliği doğrulanmış bir saldırgan yetkisini yükseltebiliyor.
Katalog, ikisinin de CVE-2026-104935 ile zincirlenebileceğini söylüyor. CISA, fidye yazılımı kampanyalarında kullanılıp kullanılmadıklarını “bilinmiyor” olarak işaretlemiş.
Kimleri etkiler
CISA uyarısına göre etkilenen sürümler Ivanti Connect Secure 25.1.1.2 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.5 ve öncesi. Uyarı, bu sürümler listesini 30 Ekim güncellemesinde de değiştirdi. Ivanti Connect Secure 22.8 sürümü 31 Ocak 2027’de destek sonuna ulaşıyor.
Üretici ne öneriyor
CISA, etkilenen cihazları kullanan kurumların Ivanti’nin güvenlik duyurusunda belirtilen en son sürüme hemen güncellemesini istiyor. Donanım ve sanal cihazlar için ayrıntılar Ivanti’nin 25.x yükseltme ve geçiş uyumluluk kılavuzunda.
CVE-2026-104935 için düzeltme 25.1.3.0 sürümüyle geldi; Ulusal Zafiyet Veritabanı (NVD) kaydına göre 22.7R2.14 ve öncesi bu açıktan etkilenmiyor. Volexity’nin blog yazısındaki güncelleme notuna göre Ivanti, CVE-2026-111357 için yamayı 29 Ekim’de yayımladı. Volexity, istismarları koordineli açıklama süreci içinde Ivanti’ye bildirdiğini yazıyor; CVE-2026-118527’yi bulan taraf açıklanmadı.
Uyarıya göre saldırganın komutları bellekte çalıştırması nedeniyle Ivanti’nin Bütünlük Denetleyici Aracı, CVE-2026-104935’in istismarına ilişkin kanıtı göstermeyebilir. Bir ihlalden şüphelenen kurumların kanıt aramak için ağ ve bellek adli analizi yapması gerekiyor.
Şüphe varsa CISA, Ivanti’nin kurtarma prosedüründeki şu adımları aktarıyor: cihaz yapılandırmasının yedeğini almak, fabrika ayarlarına dönüp en son sürüme yükseltmek (bulut ve sanal sistemlerde sanal örneği yeniden kurmak), yapılandırmayı yedekten geri yüklemek, alan, yönetici ve yerel hesaplar dahil tüm parolaları sıfırlamak, saklanan sertifikaları iptal edip yeniden düzenlemek, saklanan API anahtarlarını ve lisans sunucusu kimlik bilgilerini sıfırlamak.
ABD federal kurumları için son tarihler CVE-2026-111357’de 2 Kasım, CVE-2026-118527’de 13 Kasım. CISA ayrıca zincirleme istismarı anlatan Volexity’nin blog yazısını okumayı öneriyor. Sürüm numaraları ve tam yükseltme adımları için Ivanti’nin güvenlik duyurusu birincil kaynak.
