Ivanti Connect Secure'da root yetki yükseltme (CVE-2026-111357) ve dosya yükleme (CVE-2026-118527) açıkları: sürümler, CISA son tarihleri, yapılacaklar.
VPN cihazı, uzaktan çalışan ekiplerin şirket ağına girdiği kapıdır. Bu yüzden Ivanti Connect Secure’daki bir açık, sıradan bir yama notundan daha fazla dikkat ister. Ekim 2026’da Ivanti bu ürün için birbiriyle bağlantılı birkaç açık kapattı. Bu yazı, CISA’nın aktif istismar listesine (KEV) eklediği iki açığı ele alıyor: CVE-2026-111357 ve CVE-2026-118527.
Kısa cevap: CVE-2026-111357 (CVSS 7.0), Ivanti Connect Secure üzerinde cihaza yerel erişimi ve geçerli bir oturumu olan bir saldırganın root yetkisi almasına izin veriyor. CVE-2026-118527 (CVSS 4.3) ise kimliği doğrulanmış uzak bir saldırganın saldırgan kontrollü dosya yüklemesine yol açıyor. CISA ikisini de KEV listesine ekledi. Puanı düşük olan da listede: CISA, bu açıkların saldırılarda kullanıldığını bildiriyor. 25.1.1.3 ya da 22.8R2.6 ve sonrasına güncelle, ardından cihazda ihlal izi olup olmadığına bak. Şüphe varsa cihazı fabrika ayarlarına döndürüp temiz kur.
Ne oldu?
CVE-2026-111357 bir yetki yükseltme açığı. NVD kaydına göre Ivanti Connect Secure 22.8R2.4 sürümünde, ayrıcalıklı bir bileşen (broker) DSCache yapılandırma verisine fazla güveniyor. Bu da root yetkisine yükselmeye yol açıyor. Zayıflık sınıfı olarak NVD CWE-829’u (güvenilmeyen bir kaynaktan işlev dahil etme) gösteriyor. KEV kaydı ise aynı açığı kimlik doğrulama ve yetki kontrolünün eksik olduğu kategorilerde (CWE-306, CWE-862, CWE-345) listeliyor. Ortak nokta şu: ayrıcalıklı bir işlem, güvenmemesi gereken veriye güveniyor.
Bu açık eski. NVD’ye 15 Ekim 2026’da girdi. Ama saldırılarda kullanıldığı yakın zamanda doğrulandı. NVD kaydı, açığın “Ekim 2026’da saldırılarda kullanıldığını” yazıyor. CISA 30 Ekim 2026’da KEV’e ekledi.
CVE-2026-118527 daha az ciddi görünüyor. NVD kaydında tahmin edilebilir dosya adları kullanılıyor. Kimliği doğrulanmış uzak bir saldırgan, bu bilinen konuma kendi içeriğini taşıyan bir dosya yükleyebiliyor. Zayıflık sınıfı CWE-340 (tahmin edilebilir üretilen kimlik ve adlar). CISA bunu da 30 Ekim 2026’da KEV’e ekledi.
CVSS puanı, açığın tek başına ne kadar zarar verebileceğine bakar. KEV ise açığın gerçekte istismar edildiği bilgisine dayanır. CISA’nın uyarısına göre Ivanti’nin 104935 numaralı açığıyla birlikte bu iki açık da saldırılarda kullanılıyor ve saldırganlar bunlarla kimlik bilgisi çalıp veri sızdırıyor. 118527’nin puanı düşük olsa da saldırılarda kullanıldığı için öncelik yüksek.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| Ürün | Ivanti Connect Secure |
| CVE-2026-111357 | CVSS 3.1: 7.0 (Yüksek). Yerel ve kimliği doğrulanmış saldırgan, root yetkisi |
| CVE-2026-118527 | CVSS 3.1: 4.3 (Orta). Uzak ve kimliği doğrulanmış saldırgan, dosya yükleme |
| Zayıflık türü (CWE) | 111357: NVD CWE-829, KEV CWE-306, CWE-862, CWE-345. 118527: CWE-340 |
| NVD yayın tarihi | 111357: 15 Ekim 2026. 118527: 3 Kasım 2026 |
| CISA KEV’e eklenme | İkisi de 30 Ekim 2026 |
| CISA son tarihi | 111357: 2 Kasım 2026 (geçti). 118527: 13 Kasım 2026 |
| Etkilenen sürümler | CISA: 25.1.1.2 ve öncesi, 25.1.2.2 ve öncesi, 22.8R2.5 ve öncesi. NVD 111357’yi 22.8R2.4’te gösteriyor. Kaynaklar sınırlarda farklı, bülteni karşılaştır |
| Düzeltilen sürümler | 25.1.1.3 ve 22.8R2.6 (NVD, 118527 kaydı). 111357 için de 29 Ekim 2026 güncellemesi, ikincil kaynaklara göre aynı sürümler |
| 25.1.2 dalı | Düzeltme sürümü doğrulanamadı. Ivanti bülteninden kontrol et |
| 22.8 ömrü | CISA’ya göre ömür sonu: 31 Ocak 2027 |
Ne yapmalısın?
- Sürümünü öğren. Ivanti yönetim arayüzündeki sürüm bilgisine bak. Sürüm 25.1.1.2 ya da 22.8R2.5 ve öncesiyse cihaz etkilenmiş demektir.
- Güncelle. 25.1.1.x dalındaysan 25.1.1.3 veya sonrasına, 22.8 dalındaysan 22.8R2.6 veya sonrasına geç. İkincil kaynaklara göre 13 Ekim’deki sürümler (25.1.1.2 ve 22.8R2.5) yalnızca 104935’i kapatıyor ve bu sürümlerde kalan cihazların 29 Ekim güncellemesine geçmesi gerekiyor.
- 25.1.2 dalını ayrıca doğrula. CISA bu dalı etkilenen sayıyor, başka bir kaynak ise 25.1.3.0 ve sonrasını etkilenmeyen gösteriyor. Düzeltme sürümünü Ivanti bülteninden teyit et.
- Geçici çözüm ara. Bu yazı yazılırken Ivanti’nin bu iki açık için doğrulanabilir bir geçici çözüm yayımladığını bulamadım. İkincil kaynaklar yalnızca yamayı öneriyor. Ivanti bülteninde geçici çözüm varsa onu uygula.
- Log ve dosyalara bak. CISA iki açık için adli inceleme (forensic triage) öneriyor. Volexity’ye göre zincirin izleri arasında, giriş sayfasına (
/dana-na/auth/url_default/welcome.cgi) olağandışı yoğun istek ve/tmp/gibi yazılabilir dizinlerde beklenmeyen dosyalar var. Ivanti’nin Integrity Checker aracına tek başına güvenme. CISA, bellekte çalışan komutların bu araçla yakalanmayabileceğini belirtiyor. Ağ ve bellek incelemesi yap. - Şüphe varsa temiz kur. CISA’nın önerisi sırayla şöyle: yapılandırmayı yedekle, fabrika ayarlarına döndürüp güncel sürümü kur, yapılandırmayı geri yükle. Ardından tüm hesapların parolalarını sıfırla (domain, yönetici ve yerel hesaplar), saklanan sertifikaları iptal edip yeniden düzenle, API anahtarlarını ve lisans sunucusu kimlik bilgilerini yenile.
Sık sorulan sorular
Beni etkiliyor mu?
Ivanti Connect Secure kullanıyorsan ve sürümün yukarıdaki sınırların altındaysa, evet. Cihazı bir sağlayıcı işletiyorsa güncelleme durumunu ona sor. Sürümünü bilmiyorsan cihazı bugün kontrol et.
CVSS düşük (4.3), 118527’yi yine de önemser miyim?
Evet. CVSS tek başına risk değildir. CISA bu açığı KEV listesine ekledi ve saldırılarda kullanıldığını bildiriyor. Puan düşük, ama öncelik yüksek.
Hemen güncelleyemezsem ne yapmalıyım?
CISA’nın federal kurumlara verdiği yönergede, geçici çözüm yoksa ürünün kullanımına son verme seçeneği var. Sen de cihazı internete açık tutmanın riskini bu yönergeye göre tartabilirsin. Güncelleme tarihini bugün planla, log’ları yukarıdaki gibi kontrol et ve bu arada yönetim erişimini mümkün olan en dar kapsamda tut.
Kaynaklar
- NVD, CVE-2026-111357: https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- NVD, CVE-2026-118527: https://nvd.nist.gov/vuln/detail/CVE-2026-118527
- CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- CISA uyarısı (13 Ekim 2026, 30 Ekim 2026’da güncellendi): https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- Volexity, zincirin analizi: https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
- Ivanti güvenlik bülteni (CVE-2026-104935 kapsamında, sürüm tablosu için tek resmi kaynak): https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Ivanti cihazlarının güncellenmesini, güvenliğinin artırılmasını ve izlenmesini üstlenmek istersen teklif formu üzerinden ulaşabilirsin.