CISA, Ivanti Connect Secure'ı derhal güncellemeye çağırdı; istismar yaygınlaşıyor

CISA, Ivanti güvenlik açığını bilinen istismar edilen güvenlik açıkları kataloğuna ekledi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Çarşamba günü kuruluşları, aktif olarak istismar edilen kimlik doğrulama sayfası güvenlik açığı CVE-2026-104935 (CVSS puanı: 8,6) ortaya çıktıktan sonra Ivanti Connect Secure (ICS) cihazlarını ve dağıtımlarını en son sürüme derhal güncellemeye çağırdı.

Açık; ICS 25.1.1.1 ve önceki sürümleri, 25.1.2.2 ve önceki sürümleri ile 22.8R2.4 ve önceki sürümleri etkiler ve uzaktan yetkisiz bir saldırganın rastgele komut yürütmesine olanak tanıyabilir. CISA, açığı Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi; bu, federal sivil yürütme şubesi (FCEB) ajanslarının düzeltmeleri 16 Ekim 2026'ya kadar uygulamasını zorunlu kılar. Ajans ayrıca 22.8 sürümü için desteğin 31 Ocak 2027'de sona ereceğini belirtti ve kullanıcıları yama talimatları için Ivanti'nin Connect Secure güncelleme ve geçiş uyumluluğu kılavuzuna yöneltti.

CISA, kuruluşlardan, ağın ve belleğin adli analizini yaparak sistemlerin güvenliğinin ihlal edilip edilmediğini tespit etmelerini istedi. Güvenlik ihlali tespit edilirse ajans şunları öneriyor: cihaz yapılandırmasının yedek bir kopyasını oluşturun, fabrika ayarlarına dönün ve en son sürüme güncelleyin; bulut ve sanal sistemlerin sanal örneklerini yeniden oluşturun; yapılandırmayı yedek kopyadan geri yükleyin; etki alanı, yönetici ve yerel hesaplar dahil tüm hesap parolalarını sıfırlayın; depolanan sertifikaları geçersiz kılın ve yeniden yayınlayın, aynı anda depolanan API anahtarlarını ve lisans sunucusu kimlik bilgilerini de sıfırlayın.

Honeypot'lar 105 istismar girişimini kaydetti

Uyarı, Previdian'ın 14 Ekim 2026 itibarıyla honeypot sensörlerinin 105 istismar girişimi kaydettiğini açıklamasının ardından yayımlandı. Girişimler; coğrafi konumu Singapur ve ABD olan 50 benzersiz IP adresinden geliyordu; aralarında 216.73.160.59, 216.73.160.61, 216.73.160.210 ve 45.8.19.111 bulunuyordu.

Previdian'ın kurucu ve CEO'su Ryan Duhurst, tehdit aktörlerinin iç CGI işleyicisine ulaşmak ve ZIP dosyalarına gizlenmiş Perl komut dosyalarını yüklemek için X-DSCGI-PATH başlığını kullandığını açıkladı. Komut dosyaları, uzaktan kod yürütmenin başarıyla tamamlanıp tamamlanmadığını belirleyen benzersiz işaretçiler döndürüyor. Duhurst'a göre, şimdiye kadar ele geçirilen yükler çoğunlukla kod yürütümünü test ediyor; zararlı yazılım kurulumunu veya cihaz güvenliğinin ihlalini test etmiyor. Ancak tam donanımlı bir istismarın önümüzdeki saat ve günlerde gelmesi bekleniyor.

Tehdit aktörü UTA0576 root düzeyinde kod yürütme sağlıyor

Ayrı bir raporda Volexity, CVE-2026-104935 istismarının ilk olarak 3 Ekim 2026'da gözlemlendiğini açıklıyor: bunu, henüz belgelenmemiş tehdit aktörü UTA0576, ayrıcalık yükseltme güvenlik açığıyla birlikte, yetkisiz root düzeyinde kod yürütme elde etmek için kullanmıştı. Volexity, UTA0576'nın casusluk motivasyonuyla değil, suç amaçlı hareket ettiğini değerlendiriyor.

Başarılı istismarın ardından tehdit aktörü, geniş bir istismar sonrası faaliyete girdi. Bu faaliyet kapsamında ICS VPN cihazında depolanan kimlik bilgileri çıkarıldı, sınırlı Active Directory üstveri sızdırıldı, Kerberoasting saldırılarına ve kimlik bilgisi testine uygun Kerberos aracı kuruldu, keşif yapıldı ve LDAP paketleri yakalandı. Ayrıca yönetici parolalarını ve BitLocker kurtarma anahtarlarını bulmak için Python LDAP aracı kullanıldı. Volexity araştırmacıları Charlie Gardner, Sean Koesel ve Stephen Adeirm, ele geçirilen yüklerin; günlükleri seçici olarak değiştirerek, geçici yürütme kalıntılarını silerek ve değiştirilmiş sistem durumunu geri yükleyerek zararlı faaliyeti gizlemeye yönelik hedefli bir çaba gösterdiğini açıkladı.

Kaynaklar: The Hacker News