CISA, İstismar Sonrası İki Ivanti Connect Secure Açığını KEV'e Ekledi

CISA, aktif istismarın ardından Ivanti Connect Secure'ü (ICS) etkileyen iki güvenlik açığını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Hatalar, Volexity'nin kimlik doğrulamasız root düzeyinde kod çalıştırma sağlayabileceğini söylediği bir istismar zincirinin parçasıdır ve düzeltmeler desteklenen ICS sürümlerinde artık mevcuttur.

KEV'e Eklenen İki Açık

Zafiyetler, CVSS puanı 8.8 olan CVE-2026-111357'dir; kritik bir işlev için kimlik doğrulama eksikliği olarak tanımlanır ve yerel kimliği doğrulanmış bir saldırganın ayrıcalıklarını yükseltmesine izin verebilir; ve CVSS puanı 4.3 olan CVE-2026-118527'dir; öngörülebilir sayı veya tanımlayıcı üretimi sorunu olarak tanımlanır ve uzaktan kimliği doğrulanmış bir saldırganın dosyaları diskte bilinen bir konuma saldırgan denetimli içerikle yüklemesine izin verebilir.

İstismar Zinciri ve Gözlemlenen Etkinlik

Volexity, bu zinciri daha önce bu ay belgeledi ve bir kimlik doğrulama atlatma, uzaktan kod çalıştırma ve ayrıcalık yükseltme zafiyetini birleştirdiğini söyledi. Daha önce belgelenmemiş UTA0576 adlı bir tehdit aktörü tarafından, CVSS puanı 8.6 olan kimlik doğrulama atlatma açığı CVE-2026-104935 ile silahlandırıldı; CVE-2026-104935, 13 Ekim 2026 tarihinde KEV kataloğuna eklendi. Böyle açıkları genellikle web shell'leri veya kötü amaçlı yazılımları dağıtmak için kullanan saldırılardan farklı olarak UTA0576'nın kimlik bilgileri ve sınırlı Active Directory meta verileri çıkardığı, ana bilgisayar keşfi yaptığı ve yönetici parolaları ile BitLocker kurtarma anahtarlarını aradığı gözlemlendi.

Yamalar ve Federal Son Tarihler

Ivanti, istismar keşfedildiğinde CVE-2026-104935 için bir düzeltmenin kalite güvencesinde olduğunu ve yerel ayrıcalık yükseltme sorunu keşfedildiğinde birincil istismar yolunu çözen düzeltmeyi geciktirmemeyi seçtiğini söyledi. Şirket ayrıca bu zafiyetin bir bölümünü ürün güvenlik programı aracılığıyla keşfettiğini ve Temmuz sürümü 25.1.3.0'da yamaladığını, istismar etkinliği meydana geldiğinde düzeltmeyi diğer desteklenen sürümlere geri aktarmak için çalıştığını söyledi. CVE-2026-111357 ve CVE-2026-118527 için yamalar artık mevcuttur: etkilenen 25.1.1.2 ve önceki sürümler 25.1.1.3'te düzeltilir ve etkilenen 22.8R2.5 ve önceki sürümler 22.8R2.6'da düzeltilir. En son sürüm, doğada zincirlenip istismar edilen tüm zafiyetleri ele alır. Federal Sivil Yürütme Organı (FCEB) kurumlarının CVE-2026-111357 için düzeltmeyi 2 Kasım 2026'ya, CVE-2026-118527 için düzeltmeyi 13 Kasım 2026'ya kadar uygulaması gerekmektedir.

Önceki haberler: CISA, Ivanti Connect Secure için acil güncellemeleri önerdi; istismar genişliyor

Kaynaklar: The Hacker News