Volexity, Ivanti Connect Secure VPN cihazlarında zincirlenen üç zafiyetin kimlik doğrulaması olmadan root yetkisi verdiğini açıkladı. Saldırganlar ele geçirdikleri cihazlardan alan adı hesaplarını, LAPS şifrelerini ve BitLocker anahtarlarını çaldı.
Kurumsal uzaktan erişim altyapıları yeniden saldırganların odağında. Güvenlik araştırma firması Volexity'nin 13 Ekim 2026'da yayımladığı analize göre, Ivanti Connect Secure VPN cihazlarında birbirine zincirlenen üç zafiyet, kimlik doğrulaması yapmamış saldırganlara cihaz üzerinde root yetkisiyle komut çalıştırma imkanı veriyor.
Zincirin ilk iki halkası CVE-2026-104935 numarasıyla takip ediliyor: oturum açma bileşenindeki bir yönlendirme hatası kimlik doğrulamasını atlatıyor, dosya yükleme bileşenindeki bir yarış durumu ise yüklenen betiğin doğrulanmadan çalıştırılmasına izin veriyor. Üçüncü zafiyet, ayrıcalıklı bir servisin yapılandırma verisine fazla güvenmesinden kaynaklanan yetki yükseltme açığı. Volexity'nin aktardığına göre Ivanti ilk iki açığın yamasını 13 Ekim'de yayımladı; yetki yükseltme açığının düzeltmesi ise önümüzdeki haftalarda bekleniyor.
Neden önemli?
Bu olayda cihazın ele geçirilmesi saldırının sonu değil başlangıcı. Volexity'nin UTA0576 kod adıyla izlediği grup, eriştiği VPN cihazlarından LDAP alan adı hesaplarının kimlik bilgilerini, LAPS yerel yönetici şifrelerini ve BitLocker kurtarma anahtarlarını çıkardı. Ardından Kerberoasting, şifre püskürtme ve LDAP trafiğinin dinlenmesi yöntemleriyle Active Directory içinde yan hareket denendi; hata ayıklama ve denetim kayıtları da tahrif edildi.
İki ayrıntı tabloyu ağırlaştırıyor. Birincisi, sömürünün yamadan önce başlaması: Volexity ilk sömürü izlerini 3 Ekim 2026'ya tarihliyor, yani yama yayımlanmadan yaklaşık on gün öncesine. İkincisi, Volexity'nin Ivanti'nin kendi bütünlük denetleyicisinin ele geçirilmeyi tespit edemeyebileceği yönündeki uyarısı. Temiz görünen bir denetim raporu tek başına güvence sayılmamalı.
ABD siber güvenlik ajansı CISA zafiyeti aktif sömürülen zafiyetler kataloğuna aldı ve 26-04 sayılı bağlayıcı direktifle federal kurumlara acil yama talimatı verdi; tüm kuruluşlara da gecikmeden yama çağrısı yaptı. BleepingComputer'ın aktardığı Shadowserver verilerine göre internete açık, Ivanti Connect Secure izi taşıyan 5.600'den fazla sunucu bulunuyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de pek çok KOBİ, şube ve saha personeli için SSL VPN cihazlarını yıllardır tek uzaktan erişim kapısı olarak kullanıyor. Bu cihazlar sınırda konumlanır, internete açıktır ve çoğu zaman düzenli bakım kapsamının dışında kalır. Oysa bu olayda çalınan veri türü, yani alan adı hesapları, yerel yönetici şifreleri ve BitLocker anahtarları, bir veri ihlali bildirimini ve 6698 sayılı Kanun kapsamında idari süreci tetikleyebilecek nitelikte. KVKK'nın veri ihlali bildirimi için öngördüğü süre 72 saatle sınırlı olduğundan, cihazın yamalanması olayı kapatmaya yetmiyor; ele geçirilme olup olmadığının ayrıca araştırılması gerekiyor.
Kamer Bilişim olarak ne öneriyoruz?
- Sürümü bugün doğrulayın, yamayı ertelemeyin. Ivanti Connect Secure kullanıyorsanız cihazın sürümünü kontrol edip üreticinin yayımladığı güncel sürüme geçin. Yetki yükseltme açığının yaması henüz çıkmadığı için yönetim arayüzünü internetten tamamen kaldırın, yalnızca belirlediğiniz IP aralıklarından erişilebilir kılın.
- Yamadan sonra kimlik bilgilerini döndürün. Cihazda saklanan LDAP ve servis hesabı şifreleri, LAPS yönetici şifreleri ve BitLocker kurtarma anahtarları yama ile geçerliliğini yitirmiyor. Bu sırların yenilenmesi, ayrıca Active Directory üzerinde olağan dışı Kerberos taleplerinin ve başarısız oturum açma yığınlarının geriye dönük taranması gerekiyor.
- Sınır cihazlarını bakım kapsamına alın. Firewall, VPN ve uzaktan erişim cihazları için sürüm envanteri tutun, üretici güvenlik bültenlerini takip edin ve aylık bir yama penceresi tanımlayın. Çok faktörlü kimlik doğrulama ile yöneticiler için ayrı hesap kullanımı, çalınan tek bir şifrenin ağa giriş için yeterli olmasını engeller.
VPN ve firewall altyapınızın bu zafiyetten etkilenip etkilenmediğini birlikte kontrol etmek, sürüm envanterinizi çıkarmak veya sınır cihazlarınızı düzenli bakım kapsamına almak için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek sağlıyoruz.
Kaynak: Volexity, CISA, BleepingComputer
Kaynak: Volexity