Güvenlik firması Volexity'nin 13 Ekim'de aktardığına göre bir saldırgan, VPN cihazı Ivanti Connect Secure'de üç sıfırıncı gün açığını zincirleyerek oturum açmadan root komutları çalıştırdı. Ivanti iki açığın düzeltmesini yayınladı ve etkilenen sürümlerdeki müşterilere "derhal harekete geçin" çağrısı yaptı. Volexity'ye göre üçüncü açığın yaması hâlâ bekleniyor.
Volexity, açıkları Ivanti'ye bildirdi. Firma saldırıyı bir müşterinin cihazında tespit etti. Cihaz saldırı anında tamamen yamalıydı ve 22.8R2.4 sürümünü çalıştırıyordu. Volexity'nin UTA0576 olarak izlediği saldırgan 3 Ekim'de sömürmeye başladı.
Ivanti 13 Ekim'de "doğada sınırlı düzeyde sömürü" olduğunun farkında olduğunu belirtti.
İlk iki açık kimlik doğrulama atlama ve uzaktan kod çalıştırma açığı. İkisi birlikte CVE-2026-104935 olarak izleniyor. Volexity'ye göre bu ikili saldırganın cihazın cgi-server kullanıcısı olarak kod çalıştırmasını sağlıyor ve üçüncü açık olan yetki yükseltme ise bunu root'a taşıyor.
Ivanti'nin açtığı CVE kaydı, Connect Secure'de hangi sürümlerin etkilendiğini gösteriyor:
Etkilenen: Connect Secure "25.1.3.0 sürümünden önceki"
Etkilenmeyen: 22.7R2.14 "veya önceki" sürüm
Etkilenmiyor olarak listelenen: 22.8R2.5, 25.1.3.0 ve 25.1.3.1 sürümleri
Ivanti'nin güvenlik duyurusunda etkilenen sürümler ve düzeltmeler hakkında daha fazla bilgi yer alıyor.
25.1.3.0 için sürüm notları temmuz 2026 tarihli. Bu sürümde olan müşteriler CVE kaydının verdiği aralık dışında kalıyor.
Ivanti, yetki yükseltme açığı için bir düzeltme üzerinde çalışıyor ve Volexity'ye göre bu düzeltme "önümüzdeki haftalarda gelecek bir sürümde" yayınlanacak. Rapor, ilk iki açık kapatıldığında bu açığın cihazda ne kadar risk taşıdığını belirtmiyor.
Ivanti müşterilere yükseltme yapmalarını ve Bütünlük Denetleyici Aracı'nı düzenli çalıştırmalarını söylüyor. Volexity, bu aracın zinciri kaçırdığını belirtiyor çünkü sömürü yalnızca bellekte kütüphane kodunu değiştiriyor ve değiştirdiği yapılandırma verilerini geri yüklüyor. Saldırgan aracın önünde gizlenmek için ek adımlar da atmış.
Volexity'ye göre bir ihlali doğrulamak için adli inceleme gerekiyor; ağ ve bellek adli incelemesi dahil. İncelediği tek olaydan elde edilen bulgular şöyle:
URL yolu: /dana-na/auth/url_default/welcome.cgi, büyük sayıda istekle
HTTP başlığı: bu isteklerdeki X-DSCGI-PATH, değeri URL yolu ile eşleşmeyen
IP: 108.165.147[.]64, saldırganın kullandığı ana bilgisayar
Söz konusu olayda saldırgan depolanmış kimlik bilgilerini çaldı, LDAP etki alanı kimlik bilgilerini de içeren; Active Directory'de şifreleri aradı ve hesaplara karşı şifre püskürtme saldırıları gerçekleştirdi. Arkasında arka kapı veya web kabuğu bırakmadı. Saldırgan her komut için tüm sömürü zincirini yeniden çalıştırdı.
Volexity'nin raporu ve Ivanti'nin yazısı, henüz yükseltelemeyen müşteriler için geçici bir çözüm önermiyor. Ayrıca yükseltmenin saldırganın elde ettiği erişimi kaldırıp kaldırmadığını da belirtmiyor.
Volexity, düşük güvenle UTA0576'nın amacının casusluk değil suç amaçlı olduğunu değerlendirdi. Hiçbir şirket kaç müşterinin saldırıya uğradığını söylemedi.
Ivanti, CVE-2026-104935'i CVSS şiddet ölçeğinde 10 üzerinden 8.6 olarak derecelendiriyor. CVE kaydındaki kendi girişinde ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, sömürüyü "aktif" olarak işaretliyor ve teknik etkiyi "tam" olarak belirtiyor.
Ayrıca aynı Ivanti yazısı Xtraction ve Neurons Patch for Intune ürünleri için iki düzeltmeyi daha kapsıyor ve Ivanti bu açıkların sömürülmediğini bilmediğini söylüyor. Her birinde Ivanti'nin 10 üzerinden 9.9 olarak derecelendirdiği bir açık var: Xtraction 2026.4 sürümünden önceki CVE-2026-106042 ve Neurons Patch for Intune'daki CVE-2026-109412.
