Ivanti, Connect Secure VPN cihazlarında aktif olarak sömürülen iki açığı daha 29 Ekim'de yamaladı. Ekim ortasındaki ilk güncellemeyi yapan kurumlar hâlâ savunmasız durumda.
Kurumsal uzaktan erişim cihazlarını hedef alan sıfır gün saldırıları ekim ayı boyunca sürdü. Ivanti, 29 Ekim 2026'da Connect Secure ürününde iki açığı daha kapattı; ABD siber güvenlik ajansı CISA ise 30 Ekim'de bu iki açığı aktif olarak sömürülen açıklar kataloğuna (KEV) ekledi. Kritik nokta şu: ekim ortasındaki ilk güncellemeyi yapmış kurumlar hâlâ savunmasız durumda.
Olay nedir?
Saldırı tek bir açığa değil, birbirini tamamlayan üç açığa dayanıyor. Zincirin ilk halkası CVE-2026-104935 (CVSS 8.6), kimlik doğrulamayı atlatarak korumalı isteklere erişim sağlayan bir açık. İkinci halka CVE-2026-118527 (CVSS 4.3), yüklenen dosyanın doğrulanmadan önce tahmin edilebilir bir yola yazılmasına izin veriyor. Üçüncüsü CVE-2026-111357 (CVSS 8.8) ise root düzeyinde çalışan bir bakım servisindeki eksik yetki kontrolünü kullanarak tam yetki devralmayı mümkün kılıyor.
Ivanti'nin 13 Ekim'de yayımladığı 25.1.1.2 ve 22.8R2.5 sürümleri yalnızca ilk açığı kapatıyordu. Diğer iki açık için güvenli sürümler 25.1.1.3 ve 22.8R2.6. CISA, CVE-2026-111357 için 2 Kasım, CVE-2026-118527 için 13 Kasım 2026 tarihini federal kurumlara son yama tarihi olarak belirledi.
Neden önemli?
Bu saldırıda cihazın ele geçirilmesi amaç değil, başlangıç noktası. Olayı inceleyen güvenlik ekiplerinin raporlarına göre saldırganlar root erişiminin ardından alan adı kimlik bilgilerini topladı, Active Directory üzerinden LAPS parolalarını ve BitLocker kurtarma anahtarlarını sorguladı, LDAP trafiğini dinledi ve parola denemeleri yaptı. Yani VPN cihazı, şirket ağının tamamına açılan bir kapı olarak kullanıldı.
İkinci önemli ayrıntı, saldırının iz bırakmaması. Raporlara göre saldırganlar web shell veya kalıcı arka kapı bırakmadı, kayıtları ve kullandıkları dosyaları temizledi. Ivanti'nin kendi bütünlük denetim aracı (Integrity Checker Tool) bu cihazda herhangi bir değişiklik bildirmedi; CISA da bu aracın söz konusu etkinliği kaçırabileceği uyarısını yaptı. Dolayısıyla "aracı çalıştırdık, temiz çıktı" demek bu vakada yeterli bir doğrulama değil.
Türkiye ve KOBİ tarafındaki karşılığı
İnternete açık VPN ve güvenlik duvarı cihazları, Türkiye'deki KOBİ'lerin çoğunda şube bağlantısı, saha ekipleri ve evden çalışma için kullanılıyor. Bu cihazlar genelde "kurulduktan sonra unutulan" bileşenler oluyor; yama takibi sözleşmeye bağlanmadığında aylarca eski sürümde kalabiliyorlar.
KVKK tarafında da doğrudan bir karşılığı var. 6698 sayılı Kanun'un 12. maddesi veri sorumlusuna uygun güvenlik düzeyini sağlama yükümlülüğü getiriyor; kimlik bilgilerinin ele geçirildiği bir olayda veri ihlali bildirimi süreci işletilmek zorunda. Bilinen ve yaması yayımlanmış bir açığın kapatılmamış olması, bu süreçte kurumun aleyhine değerlendirilen bir durum.
Kamer Bilişim olarak ne öneriyoruz?
- Sürümü bugün doğrulayın, ekim yamasıyla yetinmeyin. Connect Secure cihazlarınızı 25.1.1.3 veya 22.8R2.6 sürümüne yükseltin. 25.1.1.2 ya da 22.8R2.5 sürümünde kalan cihazlar yamalı sayılmaz.
- Yamadan sonra kimlik bilgilerini yenileyin. Cihaz üzerindeki oturumları sonlandırın, yönetici parolalarını, sertifikaları ve VPN'in bağlandığı servis hesaplarının parolalarını değiştirin. Saldırı zinciri kimlik bilgisi toplamaya odaklandığı için yalnızca yama yetmez.
- Yama takibini sözleşmeye bağlayın. Sınır cihazları için üretici bültenlerini izleyen, aylık sürüm raporu çıkaran ve acil yamalarda 48 saat içinde müdahale eden bir bakım anlaşması, bu tür zincirlerde aradaki farkı yaratıyor.
İstanbul Anadolu Yakası'ndaki ofisinizde ya da uzaktan destekle; VPN, güvenlik duvarı ve sunucu envanterinizin sürüm durumunu birlikte gözden geçirebilir, kurumsal bakım anlaşması kapsamında düzenli yama takibi kurabiliriz. Değerlendirme için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Security Affairs, SOCRadar, CISA Known Exploited Vulnerabilities Catalog
Kaynak: Security Affairs