CISA, Ivanti Connect Secure’daki iki açığı KEV kataloğuna ekledi

CISA, Ivanti Connect Secure ürünündeki CVE-2026-111357 (CVSS 8.8) ve CVE-2026-118527 (CVSS 4.3) açıklarını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. İki açık, Volexity’nin Ekim ortasında belgelediği ve UTA0576 olarak izlenen tehdit aktörünün authentication bypass açığı CVE-2026-104935 (CVSS 8.6) ile birleştirdiği zero-day (sıfırıncı gün) zincirinin parçası. Ivanti yamaları 25.1.1.3 ve 22.8R2.6 sürümleriyle yayımladı.

Ivanti Connect Secure nedir, ne işe yarar?

Ivanti Connect Secure, kurumların uzaktan çalışanlarını şirket ağına bağlamak için kullandığı bir SSL VPN ürünüdür. Önceki adı Pulse Connect Secure’dur. Genellikle internete açık bir appliance olarak kurulur ve kullanıcıları kurumsal kimlik altyapısıyla doğrular. Bu konumu yüzünden saldırganların sık hedeflediği bir endpoint’tir. Benzer ürünler arasında Palo Alto GlobalProtect ve Fortinet FortiGate SSL VPN sayılabilir.

Zincirin üç halkası

Yeni eklenen iki açık tek başına giriş kapısı değil. Saldırgan önce CVE-2026-104935 ile oturum açmadan içeri giriyor. CVE-2026-111357 ise zincirdeki privilege escalation (yetki yükseltme) adımı ve sonuç root erişimi. CVE-2026-118527’nin 4.3 puanına bakıp ertelemeyin: açık KEV’de, yani istismar edildiği biliniyor.

Hangi Ivanti Connect Secure sürümleri etkileniyor

• 25.1.1.2 ve öncesi: 25.1.1.3’e geçin.
• 22.8R2.5 ve öncesi: 22.8R2.6’ya geçin.

Ekim başındaki saldırılar tam yamalı cihazlara yapıldı. Ekim ortasında yalnızca CVE-2026-104935 düzeltmesini uyguladıysanız Ivanti Connect Secure cihazınız hâlâ eksik yamalı olabilir; privilege escalation açıkları sonradan duyuruldu.

Etki VPN cihazında kalmıyor

Volexity’ye göre saldırganlar içeri girdikten sonra Active Directory kimlik bilgilerine, LAPS parolalarına ve BitLocker kurtarma anahtarlarına yöneldi. Yani ele geçirilmiş bir Ivanti Connect Secure cihazı, domain genelinde parola sıfırlama gerektiren bir olay demek. CISA, federal kurumlara CVE-2026-111357 için 2 Kasım, yani bugün, CVE-2026-118527 için 13 Kasım son tarihini verdi.

Yapılacaklar

1. Her cihazın sürümünü kontrol edin ve yamalı sürüme geçin.
2. VPN cihazından iç ağa yönelen lateral movement denemelerini log’larda arayın; iz varsa adli inceleme başlatın.
3. Şüphe varsa LAPS parolalarını, BitLocker kurtarma anahtarlarını ve VPN üzerinden kullanılan AD hesaplarının parolalarını yenileyin. Yama, çalınmış bir anahtarı geçersiz kılmıyor.

CVE kayıtları: CVE-2026-111357, CVE-2026-118527, CVE-2026-104935