Ivanti Connect Secure'daki üç açık zincirlenerek kimlik doğrulaması olmadan kök yetkisi alındı

CISA, iki Ivanti Connect Secure açığını aktif saldırılar nedeniyle bilinen istismar edilen açıklar listesine ekledi; Volexity'ye göre saldırganlar üç açığı birleştirerek kimlik doğrulaması olmadan kök düzeyinde kod çalıştırma yetkisi elde etti.

ABD'nin siber güvenlik kurumu CISA, Ivanti Connect Secure'da bulunan iki güvenlik açığını bilinen istismar edilen açıklar listesine ekledi. Listeye alınan açıklardan CVE-2026-111357 (CVSS 8.8), bir ayrıcalık yükseltme hatası; CVE-2026-118527 (CVSS 4.3) ise saldırganların dosya yüklemesine izin veren tahmin edilebilir bir tanımlayıcı sorunu. Her iki açık da aktif saldırılarda görüldükten sonra listeye alındı.

Volexity bu ay daha önce, her iki açığı da kimlik doğrulama atlatma açığı CVE-2026-104935 (CVSS 8.6) ile birlikte bir saldırı zincirinin halkaları olarak belgelemişti. Zinciri daha önce bilinmeyen UTA0576 adlı bir aktör kullandı ve kimlik doğrulaması olmadan kök düzeyinde kod çalıştırma yetkisi elde etti.

Saldırganlar web shell ya da zararlı yazılım kullanmadı. Bunun yerine kimlik bilgilerini ve sınırlı Active Directory meta verilerini topladı, ana bilgisayarda keşif yaptı ve yönetici parolalarıyla BitLocker kurtarma anahtarlarını aradı.

Ivanti, kimlik doğrulama atlatma açığı için düzeltmesinin hazır olduğunu ve önce bunu müşterilerine dağıttığını açıkladı. Ayrıcalık yükseltme hatasının bir kısmını ise 25.1.3.0 sürümünde kapattığını bildirdi. Yeni listelenen iki açık için yamalar ICS 25.1.1.3 ve 22.8R2.6 sürümlerinde yer alıyor. Federal kurumların CVE-2026-111357 için yamayı 2 Kasım 2026'ya, CVE-2026-118527 için 13 Kasım 2026'ya kadar uygulaması gerekiyor.