Ivanti VPN Açığı: Üçlü Saldırı Zinciri ve Acil Güncelleme

Tiwiti10 Kasım 02, 2026

Ivanti VPN Sistemlerinde Kritik Tehlike: Üç Güvenlik Açığı Zinciri

Ivanti Connect Secure kurumsal VPN sistemlerinde üç ayrı güvenlik açığının saldırganlar tarafından zincirleme kullanıldığı ortaya çıktı. CISA iki yeni açığı aktif istismar edilen güvenlik açıkları kataloğuna ekledi. Yeni güncellemeler yayımlanmış olsa da ilk yamayı kurmuş olmak tek başına yeterli olmayabilir.

Tiwiti10 – Kurumsal VPN sistemlerinde güvenlik uyarısı.

VPN kapısında üçlü güvenlik açığı

Volexity, Ekim 2026'nın ilk haftasında bir müşterisinin Ivanti Connect Secure cihazında şüpheli faaliyetleri incelerken üç güvenlik açığının bir arada kullanıldığı bir saldırı zinciri keşfetti. Araştırmacılar saldırıların 3 Ekim 2026'dan itibaren gerçekleştiğini bildirdi.

Saldırganlar kimlik doğrulama atlatma, uzaktan kod çalıştırma ve yetki yükseltme aşamalarını birleştirerek VPN cihazında root düzeyinde erişim elde etti.

Üç güvenlik açığı

CVE	Etki
CVE-2026-104935	Kimlik doğrulama atlatma ve uzaktan komut çalıştırma
CVE-2026-111357	Yetki yükseltme
CVE-2026-118527	Bilinen bir konuma saldırgan kontrollü dosya yükleme

Bu açıklar tek tek farklı güvenlik etkilerine sahiptir. Ancak zincirleme kullanıldıklarında kurumsal VPN cihazının kontrolünün ele geçirilmesine kadar ilerleyebilirler.

Saldırganlar hangi bilgilere yöneldi?

Volexity'nin incelediği olayda saldırganlar VPN cihazında saklanan kimlik bilgilerini, Active Directory verilerini, yerel yönetici parolalarını ve BitLocker kurtarma anahtarlarını araştırdı.

Araştırmacılar ayrıca günlük kayıtlarının değiştirilerek izlerin gizlenmeye çalışıldığını ve klasik web kabuğu veya kalıcı arka kapı kullanılmadığını bildirdi.

İlk güvenlik güncellemesi yeterli mi?

Hayır. Ivanti, CVE-2026-104935 için 13 Ekim'de güncelleme yayımlamıştı. Ancak saldırı zincirindeki diğer iki açık için ek düzeltmeler 29 Ekim 2026'da yayımlandı.

Rapid7'nin 2 Kasım tarihli değerlendirmesine göre 25.1.1.2 ve önceki sürümler için 25.1.1.3, 22.8R2.5 ve önceki sürümler için 22.8R2.6 güncellemesi gerekiyor.

Önemli: 25.1.2 ailesi ve farklı donanım modelleri için uygun yükseltme yolunu Ivanti'nin güncel güvenlik duyurusundan kontrol edin. Sürüm uyumluluğunu doğrulamadan yükseltme yapmayın.

CISA neden uyarı yayımladı?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, 30 Ekim 2026 tarihinde CVE-2026-111357 ve CVE-2026-118527 açıklarını aktif istismar edilen güvenlik açıkları kataloğuna ekledi.

CISA'nın 2 Kasım tarihi, ABD federal yürütme kurumlarına yönelik güvenlik güncellemesi takviminde yer almaktadır. Bu tarih diğer ülkelerdeki bütün kuruluşlar için doğrudan yasal son tarih değildir.

Kurumsal sistem yöneticileri ne yapmalı?

Kullanılan Ivanti sürümünü ve cihaz modelini belirleyin.
Üreticinin güncel güvenlik duyurusuna göre yükseltme yapın.
Şüpheli erişim ve ağ kayıtlarını inceleyin.
Güncelleme öncesi ve sonrası kayıtları koruyun.
İhlal şüphesinde bellek ve ağ adli incelemesi yaptırın.
Ele geçirilmiş olabilecek kimlik bilgilerini değiştirin.

Volexity, saldırganların bellek üzerinde gerçekleştirdiği bazı işlemlerin Ivanti Integrity Checker Tool tarafından tespit edilemediğini bildirdi. Bu nedenle temiz tarama sonucu tek başına sistemin güvenli olduğunu kanıtlamaz.

Günlük yaşam ve veri güvenliği

Bu açıklar doğrudan ev kullanıcılarının VPN uygulamalarından çok kurumsal VPN ağ geçitlerini ilgilendiriyor. Ancak şirket ağlarında ele geçirilen hesap bilgileri çalışanların, müşterilerin ve kurumların hassas verilerini tehlikeye atabilir.

Bankacılık, sağlık, lojistik ve kamu hizmetleri gibi sektörlerde yaşanabilecek bir siber olay hizmet kesintisine veya veri ihlaline neden olabilir.

Geleceğin siber güvenlik anlayışı

Güvenliğin yalnızca dışarıdan gelen bağlantıları engellemekle sağlanamayacağı giderek daha açık hâle geliyor. Kurumların her erişimi doğrulayan, yetkileri sınırlandıran ve olağan dışı hareketleri izleyen güvenlik mimarilerine ihtiyacı var.

💡 Bugün Ne Öğrendik?

Ivanti Connect Secure sistemlerinde üç güvenlik açığı zincirleme kullanılarak yönetici seviyesinde erişim elde edilebiliyor. 29 Ekim'de yayımlanan ek güncellemeler bilinen zinciri kapatıyor. Ancak güncelleme yapmak, geçmişte yaşanmış olabilecek bir sızmanın araştırılmasının yerini tutmuyor.