Ivanti VPN'de aktif sömürülen açık: ağ kimlik bilgileri hedefte

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, Ivanti Connect Secure SSL VPN cihazlarını etkileyen bir güvenlik açığını 13 Ekim 2026'da aktif olarak sömürülen zafiyetler kataloğuna (KEV) ekledi. CVE-2026-104935 kodlu açık, kimlik doğrulamanın atlatılmasına ve cihaz üzerinde komut çalıştırılmasına izin veriyor. Saldırının asıl hedefi ise cihazın kendisi değil, arkasındaki kurumsal ağ.

Açık ne yapıyor?

Ivanti'nin tanımına göre zafiyet, sahtecilik yoluyla kimlik doğrulama atlatma sınıfında. Uzaktaki bir saldırgan, geçerli bir kullanıcı hesabına sahip olmadan cihaza komut gönderebiliyor. Volexity'nin incelemesine göre UTA0576 olarak takip edilen grup açığı 3 Ekim 2026'dan itibaren kullanmaya başladı; Ivanti'nin düzeltmeleri 13 Ekim'de yayımlandı. Yani zafiyet yaklaşık on gün boyunca yaması olmayan bir sıfırıncı gün olarak sömürüldü.

Ivanti'nin bültenine göre etkilenen sürümler 22.8R2.4 ve öncesi, 25.1.1.1 ile 25.1.2.2 ve öncesi. 22.7.x hattı etkilenmiyor. Düzeltilmiş sürümler 22.8R2.5, 25.1.1.2 ve 25.1.3.x olarak duyuruldu. Üretici ayrıca güvenilir bir ihlal göstergesi listesi bulunmadığını belirtiyor; bu da "taradık, temiz çıktı" demenin bu olayda yeterli olmadığı anlamına geliyor.

Neden önemli?

VPN cihazı kâğıt üzerinde bir ağ bileşeni gibi görünür, pratikte ise bir kimlik deposudur. Volexity'nin ele geçirilmiş cihazlarda gözlemlediği adımlar tam olarak bunu gösteriyor: kayıtlı alan adı kimlik bilgilerinin toplanması, Active Directory sorgulanması, yerel yönetici parolalarının ve BitLocker kurtarma anahtarlarının aranması, ardından parola püskürtme ve ağ keşfi. Bu aşamadan sonra olay bir "VPN açığı" olmaktan çıkıp alan adı ele geçirme girişimine dönüşüyor.

İkinci bir takvim konusu daha var: Ivanti, 22.7 ve 22.8 hatları için destek sonu tarihini 31 Ocak 2027 olarak açıkladı. Bu hatlarda kalan kurumlar yalnızca bir yama değil, birkaç ay içinde tamamlanması gereken bir sürüm geçiş planı da düşünmek zorunda.

Türkiye ve KOBİ tarafındaki karşılığı

Uzaktan çalışma, şube bağlantısı, saha ekibi erişimi ve tedarikçi bağlantıları için SSL VPN kullanan KOBİ'lerde bu cihaz genellikle internete açık tek kurumsal sunucudur. İnşaat ofisleri, acente ve lojistik firmaları, plaza ofisleri ve üretim tesisleri için tablo aynı: VPN düşerse iç ağdaki dosya sunucusu, muhasebe uygulaması ve e-posta hesapları aynı anda risk altına girer.

Mevzuat tarafında da sonuç doğurur. 6698 sayılı KVKK'nın 12. maddesi kapsamında kişisel veriye erişim sağlanan bir ihlalin Kurula en kısa sürede bildirilmesi beklenir; Kurul bu süreyi 72 saat olarak uygulamaktadır. 7545 sayılı Siber Güvenlik Kanunu sonrasında ise bildirim ve kayıt yükümlülükleri daha görünür hâle gelmiştir. Kimlik bilgisi çalınan bir VPN olayında "veri sızdı mı" sorusunu yanıtlayabilmek, tutulan kayıtların kalitesine bağlıdır.

Kamer Bilişim olarak ne öneriyoruz?

• Sürümü doğrulayın ve yamayı planlı uygulayın. Ivanti Connect Secure kullanıyorsanız çalışan sürümü bugün kontrol edin; 22.8R2.4 ve öncesinde, 25.1.1.1 veya 25.1.2.2 ve öncesinde iseniz üreticinin düzeltilmiş sürümüne geçiş için bakım penceresi açın. 22.7/22.8 hattındaysanız 31 Ocak 2027 destek sonu tarihini de aynı plana ekleyin.
• Yamayı "olay kapandı" saymayın; kimlikleri yenileyin. Güvenilir ihlal göstergesi olmadığı için güvenli yol, yama sonrasında cihaz üzerindeki servis hesabı parolalarını, VPN'e tanımlı alan adı hesaplarının parolalarını ve yerel yönetici parolalarını değiştirmek, oturum belirteçlerini düşürmek ve BitLocker kurtarma anahtarlarını yenilemektir.
• VPN'i tek kapı olmaktan çıkarın. Yönetim arayüzünü internete kapatıp yalnızca güvenilen IP'lere açın, tüm VPN kullanıcılarında çok faktörlü doğrulamayı zorunlu kılın ve VPN hesaplarına alan adı yöneticisi yetkisi vermeyin. Cihaz günlüklerini merkezi bir sunucuda saklamak, bir sonraki olayda kapsam tespitini mümkün kılar.

Kurumunuzda kullandığınız uzaktan erişim altyapısının bu açıktan etkilenip etkilenmediğini, sürüm kontrolü ve yama planlaması ile birlikte değerlendirebiliriz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz. Ayrıntılı bilgi için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: CISA Known Exploited Vulnerabilities duyurusu (13 Ekim 2026), Ivanti güvenlik bülteni ve Volexity'nin UTA0576 analizi.