--- title: "CISA Ivanti Connect Secure için acil güncelleme istedi; honeypot'larda 105 saldırı girişimi görüldü" url: "https://teknotayf.com/haber/cisa-ivanti-connect-secure-icin-acil-guncelleme-istedi-honeypot-larda-105-saldiri-girisimi-goruldu" markdown_url: "https://teknotayf.com/haber/cisa-ivanti-connect-secure-icin-acil-guncelleme-istedi-honeypot-larda-105-saldiri-girisimi-goruldu.md" site: "teknotayf.com" language: "tr" published: "2026-10-14 15:30:42" updated: "2026-10-15 02:14:29" category: "Siber Güvenlik" tags: ["Siber Güvenlik","CISA Uyarısı","Ivanti Açığı","CVE-2026-104935"] source: "The Hacker News" --- # CISA Ivanti Connect Secure için acil güncelleme istedi; honeypot'larda 105 saldırı girişimi görüldü > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/cisa-ivanti-connect-secure-icin-acil-guncelleme-istedi-honeypot-larda-105-saldiri-girisimi-goruldu > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** ABD Siber Güvenlik Ajansı CISA, aktif olarak istismar edilen Ivanti Connect Secure açığı CVE-2026-104935 için derhal güncelleme çağrısı yaptı. Federal kurumların 16 Ekim 2026'ya kadar yama uygulaması gerekiyor. Previdian'ın honeypot sensörlerinde 14 Ekim itibarıyla 105 istismar girişimi tespit edildi. - **Yayın tarihi:** 2026-10-14 15:30 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, CISA Uyarısı, Ivanti Açığı, CVE-2026-104935 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/cisa-urges-immediate-ivanti-connect.html) ![CISA Ivanti Connect Secure için acil güncelleme istedi; honeypot'larda 105 saldırı girişimi görüldü](https://teknotayf.com/assets/uploads/2026/10/6a54833b228c191afe8c38af9fd40f4c.jpg) ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı **CISA** Salı günü, aktif olarak istismar edilen bir güvenlik açığının açıklanmasının ardından kuruluşları Ivanti Connect Secure **ICS** cihazlarını ve dağıtımlarını en son sürüme derhal güncellemeye çağırdı. **CVE-2026-104935** olarak izlenen güvenlik açığı kimlik doğrulama atlama türünde bir açık. ICS sürüm 25.1.1.1 ve öncesi, 25.1.2.2 ve öncesi ile 22.8R2.4 ve öncesi sürümleri etkiliyor ve uzaktan kimliği doğrulanmamış bir saldırganın keyfi komut çalıştırmasına olanak tanıyabiliyor. CVSS puanı 8.6. Ajans, 'Bu sıfırıncı gün kimlik doğrulama atlama açığını istismar eden siber tehdit aktörlerinin farkındayız. Açık, uzaktan kimliği doğrulanmamış şekilde keyfi komut çalıştırılmasına izin veriyor ve kimlik bilgisi çalma ile veri sızdırma amacıyla kullanılıyor' dedi. Ajans açığı daha sonra Bilinen İstismar Edilen Güvenlik Açıkları KEV kataloğuna ekledi. Federal Sivil Yürütme Şubesi FCEB kurumlarının düzeltmeleri **16 Ekim 2026**'ya kadar uygulaması gerekiyor. CISA ayrıca etkilenen ICS dağıtımlarının müşterilerine yama rehberi için Ivanti'nin Connect Secure Yükseltme ve Göç Uyumluluk Kılavuzu'nu incelemelerini öneriyor ve 22.8 sürümünün 31 Ocak 2027'de yaşam sonu desteğine ulaşacağı uyarısında bulunuyor. 'Kompromize olup olmadıklarını belirlemek isteyen kuruluşların istismar kanıtlarını tespit etmek için ağ ve bellek adli incelemesi yapmaları gerekecek' diye ekledi. Bir ihlal tespit edilmesi halinde CISA kuruluşlara aşağıdaki adımları uygulamalarını tavsiye ediyor: Cihaz yapılandırmasının yedeğini oluşturun. Fabrika ayarlarına sıfırlama yapın ve cihazı en son sürüme yükseltin. Bulut ve sanal sistemler için sanal örneği yeniden oluşturun ve en son sürüme yükseltin. 1. adımda oluşturulan yedekten cihaz yapılandırmasını geri yükleyin. Alan adı, yönetici ve yerel hesaplar dahil tüm hesapların parolalarını sıfırlayın. Saklanan sertifikaları iptal edip yeniden verin; saklanan API anahtarlarını ve lisans sunucusu kimlik bilgilerini sıfırlayın. Bu gelişme, Previdian'ın 14 Ekim 2026 itibarıyla honeypot sensörlerini hedef alan 105 istismar girişimi gözlemlediğini açıklaması ile geldi. Saldırı girişimleri Singapur ve ABD'ye konumlandırılmış 50 benzersiz IP adresinden kaynaklandı. Gözlemlenen bazı IP adresleri aşağıda listeleniyor. Previdian kurucusu ve CEO'su Ryan Dewhurst'a göre tehdit aktörleri dahili bir CGI işleyiciye ulaşmak ve ZIP dosyası kılığına girmiş Perl betikleri yüklemek için X-DSCGI-PATH başlığını kullanıyor. Betikler, uzaktan kod çalıştırmanın başarılı olup olmadığını belirleyen benzersiz işaretler döndürüyor. Dewhurst The Hacker News'e 'Bu Ivanti açığını istismar etmeye yönelik koordine girişimler görüyoruz, ancak şimdiye kadar yakalanan yükler büyük ölçüde kötü yazılım dağıtmak ya da cihazı tehlikeye atmak yerine kod çalıştırma testi yapıyor' dedi. 'Ancak tam silahlandırılmış istismarın önümüzdeki saatler ve günlerde gelmesi muhtemel.' Ayrı bir raporda Volexity, CVE-2026-104935'in istismarını ilk kez 3 Ekim 2026'da gözlemlediğini bildirdi. Daha önce belgelenmemiş UTA0576 kod adlı tehdit aktörünün açığı, ayrıcalık yükseltme açığı ile birlikte kullanarak kimliği doğrulanmamış kök düzeyinde kod çalıştırma sağladığı belirtildi. UTA0576'nın casusluk yerine suç amaçlı olduğu değerlendiriliyor. Başarılı istismarın ardından tehdit aktörünün ICS VPN cihazında saklanan kimlik bilgilerini çıkarmak, sınırlı Active Directory meta verilerini sızdırmak, Kerberoast saldırıları ve kimlik bilgisi testi yapabilen bir Kerberos aracı dağıtmak, ana bilgisayar keşfi yapmak, LDAP paket yakalama gerçekleştirmek ve yönetici parolaları ile BitLocker kurtarma anahtarlarını aramak için bir Python LDAP aracı bırakmak dahil geniş çaplı istismar sonrası eylemler yürüttüğü belirtiliyor. Volexity araştırmacıları Charlie Gardner, Sean Koessel ve Steven Adair 'Kurtarılan yükler, kötü amaçlı etkinliği seçici günlük değiştirme, geçici yürütme kalıntılarının kaldırılması ve değiştirilmiş sistem durumunun geri yüklenmesi yoluyla gizleme çabalarını gösteriyor' dedi. 'UTA0576 kötü yazılım ya da web kabuğu kullanmadı. Bunun yerine tehdit aktörü çalıştırdığı her komut için cihazı yeniden istismar etti ve izini örtmek için günlüklerle oynadı, böylece Ivanti'nin Bütünlük Denetleyici Aracı'nı atlattı.' Tehdit istihbaratı şirketi Defused Cyber de aktif istismarı doğruladı ve yemlerinin 1 Ekim 2026'dan itibaren CVE-2026-104935 olarak değerlendirdikleri açıklama öncesi istismarı yakaladığını belirtti. watchTowr'da baş tehdit istihbaratı uzmanı Yordan Ganchev 'Açığın temel nedeni inanılmaz derecede basit. Kimlik doğrulamayı atlamak ve aksi halde kısıtlanması gereken hassas işlevlere erişmek için özel olarak hazırlanmış X-DSCGI-PATH başlığı içeren tek bir istek yeterli' dedi. 'Ivanti Connect Secure uzun süredir fidye yazılımı çeteleri dahil saldırganların popüler hedefi oldu ve CISA KEV listesinde yer alan 14 diğer Ivanti Connect Secure / Pulse Connect Secure açığına katıldı. Geçmiş göz önüne alındığında, istismarın hedefli saldırılardan ayrım gözetmeyen kitlesel istismara inanılmaz derecede hızlı geçmesini bekliyoruz.' ICS çalıştıran kuruluşların derhal yama yapması ve cihazlarında ihlal belirtileri araştırması şart; bu, X-DSCGI-PATH başlığı içeren gelen isteklerin tanımlanmasını da kapsıyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/cisa-ivanti-connect-secure-icin-acil-guncelleme-istedi-honeypot-larda-105-saldiri-girisimi-goruldu Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.