- Katılım
- 12 Şub 2024
- Mesajlar
- 808
1. Genel Bilgi
Ivanti, kurumların bilgi teknolojileri altyapısını yönetmeye ve korumaya yönelik yazılım ve cihazlar geliştiren bir firmadır. Firmanın Ivanti Connect Secure adlı ürünü, evden, seyahatten veya uzaktan çalışan kişilerin kurumun iç ağındaki uygulama ve kaynaklara güvenli biçimde bağlanmasını sağlayan bir uzaktan erişim çözümüdür. Bu tür çözümler, internet üzerinden kurum ağına korumalı bir bağlantı kuran ve kısaca VPN olarak adlandırılan sistemlerdir. Ürün, üreticinin donanım cihazları üzerinde, sanal sunucularda veya bulut ortamlarında çalıştırılabilmektedir. Bu nedenle internete açık durmakta ve kurum ağının giriş kapılarından biri olarak görev yapmaktadır.3
CVE-2026-104935 kodu ile takip edilen güvenlik açığı Ivanti Connect Secure ürününde bulunmaktadır. CVE kodları, farklı güvenlik açıklarının birbirinden karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir. Bu zafiyet nedeniyle, cihazda hiçbir kullanıcı hesabı bulunmayan bir saldırgan internet üzerinden giriş yapmadan cihaza kendi istediği komutları çalıştırtabilmektedir. Normalde yalnızca oturum açmış kullanıcıların ulaşabilmesi gereken iç işlevler, cihazın gelen istekleri yönlendirme biçimindeki bir zafiyet nedeniyle saldırgana açılmaktadır.1 4 6
Bu açık gerçek saldırılarda kullanılmıştır. Üretici, müşterilerini etkileyen saldırıların yaşandığını açıklamış, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da zafiyeti gerçek saldırılarda kullanıldığı bilinen güvenlik açıkları kataloğuna eklemiştir. İncelenen bir saldırıda saldırgan, bu zafiyeti üretici tarafından henüz düzeltilmemiş ayrı bir zafiyetle birleştirerek cihazda en yüksek yetkiye ulaşmıştır. Saldırgan bu erişimi cihazda ve kurum ağında kullanılan parolaları ve kullanıcı bilgilerini ele geçirmek ile kurum ağı hakkında bilgi toplamak amacıyla kullanmış ve izlerini silmeye çalışmıştır.2 5 6
Kalıcı çözüm, Ivanti Connect Secure cihazlarını kullanılan sürüm aralığına ait düzeltilmiş sürüme güncellemektir. Üretici ayrıca 22.x sürüm aralığı desteğinin 31.01.2027 tarihinde sona ereceğini belirterek 25.x aralığına geçilmesini önermektedir. Gözlemlenen saldırıda kullanılan yetki yükseltme açığı için düzeltme önümüzdeki haftalarda yayımlanacaktır; bu düzeltme de çıktığında uygulanmalıdır.1 2
Güncelleme, cihazın güncellemeden önce ele geçirilmiş olma ihtimalini ortadan kaldırmamaktadır. Saldırganın iz silme yöntemleri nedeniyle üreticinin bütünlük kontrol aracının bu saldırıyı tespit edemeyebileceği bildirilmektedir. Bu nedenle etkilenen sürümü internete açık biçimde çalıştırmış kurumların, cihazı ve cihazın bağlı olduğu kurum hesaplarını olası bir güvenlik ihlali açısından incelemesi gerekmektedir.1 6
2. Teknik Detaylar
2.1. Temel Bilgiler
Üretici / Vendor: Ivanti
CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): Ivanti
Ürün: Ivanti Connect Secure (ICS)
Bileşen: Üretici tarafından bileşen düzeyinde teknik ayrıntı yayımlanmamıştır. Olay müdahale verilerine dayanan analizde zafiyetin welcome.cgi üzerinden gerçekleşen CGI istek yönlendirmesinde ve wu.cgi dosya yükleme işleyicisinde ortaya çıktığı belirtilmektedir.6
CVE: CVE-2026-104935 — PUBLISHED
Zincir / Kampanya Adı: Kamuya açık güvenilir kaynaklarda adlandırılmış bir zincir veya kampanya bulunmamaktadır. Faaliyeti yürüten tehdit aktörü, olay müdahale araştırmasında UTA0576 olarak izlenmektedir.6
Zafiyet Türü: Sahtecilik yoluyla kimlik doğrulama atlatma (authentication bypass by spoofing) ve kimlik doğrulaması olmadan komut yürütme
CWE: CWE-290 — Sahtecilik yoluyla kimlik doğrulama atlatma (Authentication Bypass by Spoofing)4
Etkilenen Servis / Özellik: Connect Secure web arayüzünde kimlik doğrulama gerektirmeyen giriş sayfası betiğine gelen isteklerin CGI betiklerine yönlendirilmesi
İstismar Ön Koşulu: Cihazın web arayüzüne ağ üzerinden erişim. Kimlik doğrulama gerekmemektedir. Kamuya açık kaynaklarda ek bir yapılandırma ön koşulu belirtilmemiştir.4 6
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: 25.1.1.1 ve öncesi; 25.1.2.2 ve öncesi; 22.8R2.4 ve öncesi. 22.7R2.14 ve öncesi sürümler etkilenmemektedir.1 2 4 8
Minimum Güvenli Sürüm: Tek bir ortak sürüm sınırı bulunmamaktadır. Kullanılan aralığa göre 25.1.1.2; 25.1.3.0 veya 25.1.3.1; 22.8R2.5 kurulmalıdır.1 2 8
Güncel Önerilen Sürüm: Üretici 25.x sürüm aralığına geçilmesini önermektedir. 22.x aralığının desteği 31.01.2027 tarihinde sona ermektedir. Erişilebilen resmî kaynaklarda tek bir güncel önerilen sürüm numarası doğrulanamamıştır.2
Aktif İstismar Durumu: Doğrulanmıştır. Üretici açıklaması, CISA KEV kaydı ve olay müdahale bulguları bulunmaktadır.1 2 5 6
Zincirin Sonucu: CVE-2026-104935 tek başına cgi-server kullanıcısının yetkileriyle kod yürütme sağlamaktadır. Gözlemlenen saldırıda bu erişim, CVE numarası ve düzeltmesi henüz yayımlanmamış ayrı bir yetki yükseltme açığıyla birleştirilerek root yetkisine ulaşılmaktadır.2 6
CNA kaydının açıklama alanı etkilenen sürümleri “25.1.3.0 öncesi” olarak ifade etmekte; etkilenmeyen sürümler listesinde 25.1.3.0, 25.1.3.1, 22.8R2.5 ve 22.7R2.14 bulunmaktadır. 25.1.1 aralığındaki 25.1.1.2 düzeltmesi, üreticinin güncelleme duyurusunda ve NVD yapılandırma verisinde yer almaktadır.2 4 8
2.2. Zafiyet Tanımı
Üretici, zafiyetin teknik ayrıntılarını yayımlamamıştır. Aşağıdaki mekanizma, ele geçirilmiş bir cihaz üzerinde bellek ve disk incelemesiyle istismar zincirini yeniden oluşturan olay müdahale araştırmasına dayanmaktadır.6
Connect Secure, ön uç ve arka uç süreçleri arasında istekleri bir CGI betik işleyicisine yönlendirmektedir. Kimliği doğrulanmamış saldırgan (unauthenticated attacker), kimlik doğrulama gerektirmeyen giriş sayfası betiği welcome.cgi'ye bir istek göndermekte ve aynı istekte X-DSCGI-PATH başlığıyla farklı bir betiği hedef olarak belirtmektedir. Cihaz isteğin kimlik doğrulama gerektirip gerektirmediğine URL yoluna bakarak karar vermekte, ancak isteği başlıkta yazan betiğe iletmektedir. Bu tutarsızlık, kimlik doğrulama atlatma (authentication bypass) ile korumalı betiklere ulaşılmasını sağlamaktadır.6
Gözlemlenen saldırıda bu yolla ulaşılan wu.cgi dosya yükleme işleyicisi, yüklenen içeriği önce diske yazmakta, geçerli bir ZIP dosyası olup olmadığını ancak bu işlemden sonra denetlemektedir. Geçersiz dosya silinmeden önce kısa bir süre diskte kalmaktadır. Saldırgan bu aralıkta aynı başlık tekniğiyle yüklenen betiği çalıştırmaya yönelik paralel istekler göndererek yarış durumunu (race condition) kazanmakta ve kod yürütme (code execution) elde etmektedir. Üretici, kimlik doğrulama atlatma ve kod yürütme bileşenlerinin ikisini birlikte CVE-2026-104935 altında takip etmektedir.6
Bu iki aşama, uzaktaki saldırgana (remote attacker) cgi-server kullanıcısının yetkileriyle uzaktan kod yürütme (Remote Code Execution, RCE) imkânı vermektedir. Gözlemlenen saldırıda root yetkisine geçiş ise ayrı bir yetki yükseltme (privilege escalation) açığıyla sağlanmıştır. Bu açıkta, root olarak bakım görevleri çalıştıran dsinvoked servisi hangi programın çalıştırılacağını DSCache adlı paylaşılan yapılandırma deposundan okumaktadır. Saldırgan, cgi-server sürecinin bellekteki kütüphane kopyasını değiştirerek bu depodaki bir görev kaydını kendi betiğini çalıştıracak şekilde yeniden yapılandırmış ve servisin bu görevi root olarak yürütmesini sağlamıştır. Üretici bu yetki yükseltme açığı için düzeltmenin gelecek bir sürümde yayımlanacağını belirtmektedir.2 6
Gözlemlenen saldırıda yetki yükseltme adımı, CVE-2026-104935 ile elde edilen kod yürütme üzerinden çalıştırılmıştır. Yetki yükseltme açığının başka yollarla tetiklenip tetiklenemeyeceğine ilişkin kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
2.3. Zayıflıklar
CWE-290: Cihaz, isteğin erişim kararını istenen URL yoluna göre verirken isteğin gerçek hedefini saldırganın denetleyebildiği başlık değerine göre belirlemektedir. Bu nedenle başlık değeri, korumalı bir betiğe kimlik doğrulaması yapılmış gibi ulaşmak için kullanılabilmektedir.4 6
Kod yürütme aşamasındaki dosya yazma ve denetim sırası hatası ile ayrı yetki yükseltme açığı için CNA tarafından atanmış ayrı bir CWE bulunmamaktadır.
MITRE ATT&CK: Olay müdahale araştırması, istismar sonrası faaliyetlerden Kerberoasting için T1558.003 ve parola püskürtme (password spraying) için T1110.003 tekniklerine atıfta bulunmaktadır. Zafiyetin istismar aşaması için kaynakta açık bir ATT&CK eşleştirmesi yayımlanmamıştır.6
2.4. Etkiler
CVE-2026-104935'in doğrudan teknik etkisi, kimliği doğrulanmamış saldırganın Connect Secure cihazında cgi-server kullanıcısının yetkileriyle komut yürütebilmesidir. Root yetkisi bu CVE'nin doğrudan sonucu değildir; gözlemlenen saldırıda ayrı yetki yükseltme açığıyla elde edilmiştir.4 6
Gözlemlenen saldırıda tehdit aktörü (threat actor) web kabuğu veya ayrı bir komuta kontrol (Command and Control, C2) kanalı kurmamakta; her komut için istismar zincirini yeniden çalıştırarak komut ve sonuçları istismar isteklerinin HTTPS trafiği içinde taşımaktadır. Olay müdahale araştırmasında belgelenen istismar sonrası faaliyetler şunlardır:6
Bu faaliyetler kimlik hırsızlığı (credential theft) ile kurum ağına yönelik keşfi kapsamaktadır. Araştırmacılar, saldırının tespit edilip kesildiğini ve nihai amacın belirlenemediğini belirtmekle birlikte, gözlemlenen eylemleri yüksek güvenle yatay hareket (lateral movement) ve daha geniş bir ağ ihlali için hazırlık olarak değerlendirmektedir.6
Saldırı yalnızca bellekte değişiklik yaptığı ve değiştirilen yapılandırma verisini eski hâline getirdiği için üreticinin bütünlük kontrol aracının bu değişiklikleri tespit etmediği bildirilmektedir. Bu durum, olası bir ihlalin yalnızca cihaz üzerindeki dosya bütünlüğü kontrolüyle dışlanamayacağı anlamına gelmektedir.6
Kamuya açık güvenilir kaynaklarda UTA0576'nın bilinen bir tehdit aktörüyle, kötü amaçlı yazılım ailesiyle veya adlandırılmış kampanyayla ilişkilendirildiğine dair doğrulanmış bilgi bulunmamaktadır. Araştırmacılar aktörün suç amaçlı motivasyona sahip olduğunu düşük güven ölçeğinde değerlendirmektedir.6
2.5. Sömürü Durumu
Aktif exploit var mı?: Evet. Gerçek saldırıda kullanılan istismar materyali olay müdahale araştırmasında bellek ve disk incelemesiyle yeniden oluşturulmuştur. Bu materyal kamuya yayımlanmamıştır.6
PoC var mı?: Kamuya açık bir PoC iddiası bulunmakla birlikte içerik doğrulanmamakta ve kötü amaçlı yazılım içerebileceği yönünde uyarı yapılmaktadır.7
Gerçek dünya saldırılarında istismar var mı?: Evet. Üretici müşterilerini etkileyen istismarı doğrulamaktadır.1 2
CISA KEV: Katalogda; eklenme tarihi 13.10.2026, işlem son tarihi 16.10.2026. Gerekli işlem, üretici talimatlarına uygun etkisizleştirme uygulanması, bulut hizmetleri için ilgili yönlendirmelerin izlenmesi ve etkisizleştirme mümkün değilse ürün kullanımının bırakılmasıdır. Known Ransomware Campaign Use alanı doğrulanamamıştır.5 8
CISA SSVC:
Olay müdahale araştırmasına göre UTA0576, o tarihte en güncel sürüm olan 22.8R2.4 (Build 19097) sürümünü çalıştıran bir Connect Secure cihazını 03.10.2026 tarihinden itibaren tekrar tekrar istismar etmiştir. İnceleme 05.10.2026 tarihinde başlamış, üretici duyurusu ve CVE kaydı 13.10.2026 tarihinde yayımlanmıştır. Bu nedenle zafiyet, açıklanmadan önce gerçek saldırıda kullanılmış bir 0-day (sıfırıncı gün) niteliğindedir. Bu bulgu tek bir kurumdaki doğrulanmış güvenlik ihlaline dayanmaktadır; diğer etkilenen kurumların sayısı kamuya açıklanmamıştır.4 6
Üretici, zafiyetin bir bölümünün kendi ürün güvenliği programı tarafından tespit edildiğini ve bu bölümün Temmuz 2026'da yayımlanan 25.1.3.0 sürümünde düzeltildiğini, istismarın ise bu düzeltmenin diğer desteklenen sürümlere aktarılması sürecinde gerçekleştiğini belirtmektedir.1 10
Açıklama sonrasında bir tuzak sistem (honeypot) ağının telemetrisinde, 14.10.2026–18.10.2026 arasında 3 sensörde 60 farklı kaynak IP adresinden gelen 125 istismar girişimi kaydedilmiştir. Bu gözlem tarama ve istismar girişimlerini göstermekte, gerçek üretim sistemlerinin ele geçirildiğini kanıtlamamaktadır. Aynı kaynak, zafiyet için kamuya açık bir tarama şablonu bulunduğunu bildirmektedir.7
Vendor/CNA doğrulama seviyesi: Üretici istismarı doğrulamakta, ancak teknik ayrıntı ve güvenilir IOC yayımlamamaktadır. İstismar zincirinin mekanizması bağımsız olay müdahale araştırmasına dayanmaktadır. Kamuya açık PoC iddiası üretici veya CNA tarafından doğrulanmamıştır.1 6 7 10
3. Risk Değerlendirmesi
Ivanti (CNA) — CVSS v3.1: 8.6 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L4
NVD kaydında yalnızca CNA değerlendirmesi görüntülenmektedir; NIST tarafından oluşturulmuş ayrı bir CVSS değerlendirmesi bulunmamaktadır. CISA ADP kaydında CVSS değerlendirmesi yer almamaktadır.4 8
CNA açıklaması saldırganın keyfi komut çalıştırabildiğini belirtirken vektörde bütünlük ve erişilebilirlik etkileri düşük olarak değerlendirilmektedir. Bu rapor, yayımlanmış vektörü değiştirmemektedir. Gözlemlenen saldırıda ulaşılan root yetkisinin bu CVE'nin değil ayrı yetki yükseltme açığının sonucu olduğu dikkate alınmalıdır.4 6
İstismar Öngörü Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):
EPSS değeri, zafiyetin müteakip 30 gün içinde istismar edilme olasılığına ilişkin istatistiksel tahmindir ve tek başına istismar kanıtı değildir. Bu vakada gerçek dünya istismarı ayrıca üretici açıklaması, CISA KEV kaydı ve olay müdahale bulgularıyla doğrulanmaktadır.9
Zafiyetin internet üzerinden kimlik doğrulaması olmadan istismar edilebilmesi, kenar ağ cihazı olarak kurumun kimlik altyapısına bağlı çalışan bir ürünü etkilemesi, gerçek saldırıda kimlik bilgisi hırsızlığına yönelik kullanılması ve CISA SSVC değerlendirmesinde otomatize edilebilir ve tam teknik etkili olarak sınıflandırılması birlikte değerlendirildiğinde, etkilenen sürümlerin güncellenmesi ertelenmemelidir. Gözlemlenen saldırıda kullanılan yetki yükseltme açığının henüz düzeltilmemiş olması, güncellemeden önce kod yürütme sağlanmış cihazlarda root düzeyinde ihlal ihtimalinin göz ardı edilmemesini gerektirmektedir.2 4 6
4. Etkisizleştirme (Mitigation)
Üretici, güvenlik güncellemesinin yerine geçecek bir geçici çözüm (workaround) yayımlamamıştır. Temel yönlendirme, kullanılan sürüm aralığına ait düzeltilmiş sürümün kurulmasıdır. CISA KEV gerekli işlem alanı, etkisizleştirme mümkün değilse ürün kullanımının bırakılmasını öngörmektedir.1 5 10 11
Güncellemenin hemen uygulanamadığı kısa süre için aşağıdaki genel savunma kontrolleri değerlendirilebilir. Bu kontroller üretici tarafından doğrulanmış geçici çözüm değildir:
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
Kalıcı çözüm, kullanılan Connect Secure sürüm aralığı için düzeltilmiş sürümü kurmak ve güncellemenin başarıyla tamamlandığını doğrulamaktır.1 2
Minimum güvenli sürüm: Kullanılan aralığa göre 25.1.1.2, 25.1.3.0 veya 22.8R2.5'tir. Bu sürümler yalnızca CVE-2026-104935'i gidermektedir; gözlemlenen saldırıda kullanılan yetki yükseltme açığı için düzeltme henüz yayımlanmamıştır.2 6
Güncel desteklenen ve önerilen sürüm: Üretici 25.x sürüm hattına geçilmesini önermekte ve 22.x hattının desteğinin 31.01.2027 tarihinde sona ereceğini belirtmektedir. Yetki yükseltme açığına ait düzeltme yayımlandığında bu düzeltmeyi içeren sürüm uygulanmalıdır.2
Güncelleme, daha önce gerçekleşmiş bir güvenlik ihlalini ortadan kaldırmamaktadır. Üretici, istismar şüphesi bulunan müşterileri 22.8x ve 25x sürümleri için yayımladığı kurtarma adımlarına yönlendirmektedir. Ele geçirilen cihazdan çalınabilecek bilgiler arasında cihazda saklanan etki alanı kimlik bilgileri, Active Directory hizmet hesabı, LAPS yerel yönetici parolaları ve BitLocker kurtarma bilgileri bulunduğundan, ihlal şüphesi bulunan kurumların bu kimlik bilgileri ve anahtarlar için olay müdahalesi kapsamında değerlendirme yapması gerekmektedir. Bu değerlendirme olay müdahale bulgularından türetilmiş genel bir öneridir; üretici talimatı değildir.6 10
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Saldırgan, cihazın kendi hata ayıklama ve Linux denetim kayıtlarından ilgili girdileri seçici olarak silmektedir. Bu nedenle cihaz dışındaki ters vekil, güvenlik duvarı, ağ izleme ve etki alanı denetleyicisi kayıtları öncelikli kaynak olarak kullanılmalıdır.6
Geriye dönük inceleme için, bilinen en erken istismar tarihi olan 03.10.2026 başlangıç noktası olarak kullanılabilir. Ancak istismarın daha önce de gerçekleşmiş olabileceği, kayıt saklama süreleri ve saat dilimi farkları dikkate alınmalıdır.6
6.2. IOC
Aşağıdaki güvenlik ihlali göstergeleri (Indicator of Compromise, IOC), olay müdahale araştırmasında incelenen vakada gözlemlenmiştir. Üretici, açıklama tarihinde güvenilir IOC bulunmadığını belirtmektedir. Tek bir gösterge, ek olay verisi olmadan kesin atıf veya başarılı istismar kanıtı sayılmamalıdır.6 10
HTTP başlık değerleri:
Cihaz üzerindeki dosya ve süreç göstergeleri:
Saldırgan geçici dosyaların bir bölümünü kendisi silmekte; bu nedenle bu dosyaların bulunmaması ihlal olmadığını göstermemektedir. Olay müdahale araştırmasını yürüten firma ek göstergeleri kendi GitHub deposunda yayımladığını belirtmektedir.6
Tuzak sistem telemetrisinde gözlemlenen 60 kaynak IP adresi kamuya açık olarak yayımlanmamış, erişim kontrollü olarak sunulmaktadır.7
6.3. Tespit Kuralı Önerisi
Erişilebilen kaynaklarda bu vakaya özgü, doğrulanmış ve kamuya açık hazır Sigma, YARA veya IDS/IPS kuralı tespit edilmemiştir. Kamuya açık olduğu bildirilen tarama şablonu, sistemin savunmasız olup olmadığını ölçmeye yöneliktir ve başarılı istismar veya güvenlik ihlali kanıtı sağlamamaktadır.7 Aşağıdaki davranış korelasyonu öneridir:
Ters vekil ve güvenlik duvarı katmanlarının HTTP başlıklarını varsayılan olarak kaydetmeyebileceği dikkate alınmalıdır. Geliştirilen kurallar üretime alınmadan önce olağan Connect Secure trafiğiyle kontrollü ortamda test edilmelidir.
7. Kaynaklar
Ivanti, kurumların bilgi teknolojileri altyapısını yönetmeye ve korumaya yönelik yazılım ve cihazlar geliştiren bir firmadır. Firmanın Ivanti Connect Secure adlı ürünü, evden, seyahatten veya uzaktan çalışan kişilerin kurumun iç ağındaki uygulama ve kaynaklara güvenli biçimde bağlanmasını sağlayan bir uzaktan erişim çözümüdür. Bu tür çözümler, internet üzerinden kurum ağına korumalı bir bağlantı kuran ve kısaca VPN olarak adlandırılan sistemlerdir. Ürün, üreticinin donanım cihazları üzerinde, sanal sunucularda veya bulut ortamlarında çalıştırılabilmektedir. Bu nedenle internete açık durmakta ve kurum ağının giriş kapılarından biri olarak görev yapmaktadır.3
CVE-2026-104935 kodu ile takip edilen güvenlik açığı Ivanti Connect Secure ürününde bulunmaktadır. CVE kodları, farklı güvenlik açıklarının birbirinden karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir. Bu zafiyet nedeniyle, cihazda hiçbir kullanıcı hesabı bulunmayan bir saldırgan internet üzerinden giriş yapmadan cihaza kendi istediği komutları çalıştırtabilmektedir. Normalde yalnızca oturum açmış kullanıcıların ulaşabilmesi gereken iç işlevler, cihazın gelen istekleri yönlendirme biçimindeki bir zafiyet nedeniyle saldırgana açılmaktadır.1 4 6
Bu açık gerçek saldırılarda kullanılmıştır. Üretici, müşterilerini etkileyen saldırıların yaşandığını açıklamış, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da zafiyeti gerçek saldırılarda kullanıldığı bilinen güvenlik açıkları kataloğuna eklemiştir. İncelenen bir saldırıda saldırgan, bu zafiyeti üretici tarafından henüz düzeltilmemiş ayrı bir zafiyetle birleştirerek cihazda en yüksek yetkiye ulaşmıştır. Saldırgan bu erişimi cihazda ve kurum ağında kullanılan parolaları ve kullanıcı bilgilerini ele geçirmek ile kurum ağı hakkında bilgi toplamak amacıyla kullanmış ve izlerini silmeye çalışmıştır.2 5 6
Kalıcı çözüm, Ivanti Connect Secure cihazlarını kullanılan sürüm aralığına ait düzeltilmiş sürüme güncellemektir. Üretici ayrıca 22.x sürüm aralığı desteğinin 31.01.2027 tarihinde sona ereceğini belirterek 25.x aralığına geçilmesini önermektedir. Gözlemlenen saldırıda kullanılan yetki yükseltme açığı için düzeltme önümüzdeki haftalarda yayımlanacaktır; bu düzeltme de çıktığında uygulanmalıdır.1 2
Güncelleme, cihazın güncellemeden önce ele geçirilmiş olma ihtimalini ortadan kaldırmamaktadır. Saldırganın iz silme yöntemleri nedeniyle üreticinin bütünlük kontrol aracının bu saldırıyı tespit edemeyebileceği bildirilmektedir. Bu nedenle etkilenen sürümü internete açık biçimde çalıştırmış kurumların, cihazı ve cihazın bağlı olduğu kurum hesaplarını olası bir güvenlik ihlali açısından incelemesi gerekmektedir.1 6
2. Teknik Detaylar
2.1. Temel Bilgiler
Üretici / Vendor: Ivanti
CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): Ivanti
Ürün: Ivanti Connect Secure (ICS)
Bileşen: Üretici tarafından bileşen düzeyinde teknik ayrıntı yayımlanmamıştır. Olay müdahale verilerine dayanan analizde zafiyetin welcome.cgi üzerinden gerçekleşen CGI istek yönlendirmesinde ve wu.cgi dosya yükleme işleyicisinde ortaya çıktığı belirtilmektedir.6
CVE: CVE-2026-104935 — PUBLISHED
Zincir / Kampanya Adı: Kamuya açık güvenilir kaynaklarda adlandırılmış bir zincir veya kampanya bulunmamaktadır. Faaliyeti yürüten tehdit aktörü, olay müdahale araştırmasında UTA0576 olarak izlenmektedir.6
Zafiyet Türü: Sahtecilik yoluyla kimlik doğrulama atlatma (authentication bypass by spoofing) ve kimlik doğrulaması olmadan komut yürütme
CWE: CWE-290 — Sahtecilik yoluyla kimlik doğrulama atlatma (Authentication Bypass by Spoofing)4
Etkilenen Servis / Özellik: Connect Secure web arayüzünde kimlik doğrulama gerektirmeyen giriş sayfası betiğine gelen isteklerin CGI betiklerine yönlendirilmesi
İstismar Ön Koşulu: Cihazın web arayüzüne ağ üzerinden erişim. Kimlik doğrulama gerekmemektedir. Kamuya açık kaynaklarda ek bir yapılandırma ön koşulu belirtilmemiştir.4 6
Saldırı Vektörü: Ağ
Kullanıcı Etkileşimi: Yok
Gerekli Ayrıcalıklar: Yok
Etkilenen Sürümler: 25.1.1.1 ve öncesi; 25.1.2.2 ve öncesi; 22.8R2.4 ve öncesi. 22.7R2.14 ve öncesi sürümler etkilenmemektedir.1 2 4 8
Minimum Güvenli Sürüm: Tek bir ortak sürüm sınırı bulunmamaktadır. Kullanılan aralığa göre 25.1.1.2; 25.1.3.0 veya 25.1.3.1; 22.8R2.5 kurulmalıdır.1 2 8
Güncel Önerilen Sürüm: Üretici 25.x sürüm aralığına geçilmesini önermektedir. 22.x aralığının desteği 31.01.2027 tarihinde sona ermektedir. Erişilebilen resmî kaynaklarda tek bir güncel önerilen sürüm numarası doğrulanamamıştır.2
Aktif İstismar Durumu: Doğrulanmıştır. Üretici açıklaması, CISA KEV kaydı ve olay müdahale bulguları bulunmaktadır.1 2 5 6
Zincirin Sonucu: CVE-2026-104935 tek başına cgi-server kullanıcısının yetkileriyle kod yürütme sağlamaktadır. Gözlemlenen saldırıda bu erişim, CVE numarası ve düzeltmesi henüz yayımlanmamış ayrı bir yetki yükseltme açığıyla birleştirilerek root yetkisine ulaşılmaktadır.2 6
CNA kaydının açıklama alanı etkilenen sürümleri “25.1.3.0 öncesi” olarak ifade etmekte; etkilenmeyen sürümler listesinde 25.1.3.0, 25.1.3.1, 22.8R2.5 ve 22.7R2.14 bulunmaktadır. 25.1.1 aralığındaki 25.1.1.2 düzeltmesi, üreticinin güncelleme duyurusunda ve NVD yapılandırma verisinde yer almaktadır.2 4 8
2.2. Zafiyet Tanımı
Üretici, zafiyetin teknik ayrıntılarını yayımlamamıştır. Aşağıdaki mekanizma, ele geçirilmiş bir cihaz üzerinde bellek ve disk incelemesiyle istismar zincirini yeniden oluşturan olay müdahale araştırmasına dayanmaktadır.6
Connect Secure, ön uç ve arka uç süreçleri arasında istekleri bir CGI betik işleyicisine yönlendirmektedir. Kimliği doğrulanmamış saldırgan (unauthenticated attacker), kimlik doğrulama gerektirmeyen giriş sayfası betiği welcome.cgi'ye bir istek göndermekte ve aynı istekte X-DSCGI-PATH başlığıyla farklı bir betiği hedef olarak belirtmektedir. Cihaz isteğin kimlik doğrulama gerektirip gerektirmediğine URL yoluna bakarak karar vermekte, ancak isteği başlıkta yazan betiğe iletmektedir. Bu tutarsızlık, kimlik doğrulama atlatma (authentication bypass) ile korumalı betiklere ulaşılmasını sağlamaktadır.6
Gözlemlenen saldırıda bu yolla ulaşılan wu.cgi dosya yükleme işleyicisi, yüklenen içeriği önce diske yazmakta, geçerli bir ZIP dosyası olup olmadığını ancak bu işlemden sonra denetlemektedir. Geçersiz dosya silinmeden önce kısa bir süre diskte kalmaktadır. Saldırgan bu aralıkta aynı başlık tekniğiyle yüklenen betiği çalıştırmaya yönelik paralel istekler göndererek yarış durumunu (race condition) kazanmakta ve kod yürütme (code execution) elde etmektedir. Üretici, kimlik doğrulama atlatma ve kod yürütme bileşenlerinin ikisini birlikte CVE-2026-104935 altında takip etmektedir.6
Bu iki aşama, uzaktaki saldırgana (remote attacker) cgi-server kullanıcısının yetkileriyle uzaktan kod yürütme (Remote Code Execution, RCE) imkânı vermektedir. Gözlemlenen saldırıda root yetkisine geçiş ise ayrı bir yetki yükseltme (privilege escalation) açığıyla sağlanmıştır. Bu açıkta, root olarak bakım görevleri çalıştıran dsinvoked servisi hangi programın çalıştırılacağını DSCache adlı paylaşılan yapılandırma deposundan okumaktadır. Saldırgan, cgi-server sürecinin bellekteki kütüphane kopyasını değiştirerek bu depodaki bir görev kaydını kendi betiğini çalıştıracak şekilde yeniden yapılandırmış ve servisin bu görevi root olarak yürütmesini sağlamıştır. Üretici bu yetki yükseltme açığı için düzeltmenin gelecek bir sürümde yayımlanacağını belirtmektedir.2 6
Gözlemlenen saldırıda yetki yükseltme adımı, CVE-2026-104935 ile elde edilen kod yürütme üzerinden çalıştırılmıştır. Yetki yükseltme açığının başka yollarla tetiklenip tetiklenemeyeceğine ilişkin kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
2.3. Zayıflıklar
CWE-290: Cihaz, isteğin erişim kararını istenen URL yoluna göre verirken isteğin gerçek hedefini saldırganın denetleyebildiği başlık değerine göre belirlemektedir. Bu nedenle başlık değeri, korumalı bir betiğe kimlik doğrulaması yapılmış gibi ulaşmak için kullanılabilmektedir.4 6
Kod yürütme aşamasındaki dosya yazma ve denetim sırası hatası ile ayrı yetki yükseltme açığı için CNA tarafından atanmış ayrı bir CWE bulunmamaktadır.
MITRE ATT&CK: Olay müdahale araştırması, istismar sonrası faaliyetlerden Kerberoasting için T1558.003 ve parola püskürtme (password spraying) için T1110.003 tekniklerine atıfta bulunmaktadır. Zafiyetin istismar aşaması için kaynakta açık bir ATT&CK eşleştirmesi yayımlanmamıştır.6
2.4. Etkiler
CVE-2026-104935'in doğrudan teknik etkisi, kimliği doğrulanmamış saldırganın Connect Secure cihazında cgi-server kullanıcısının yetkileriyle komut yürütebilmesidir. Root yetkisi bu CVE'nin doğrudan sonucu değildir; gözlemlenen saldırıda ayrı yetki yükseltme açığıyla elde edilmiştir.4 6
Gözlemlenen saldırıda tehdit aktörü (threat actor) web kabuğu veya ayrı bir komuta kontrol (Command and Control, C2) kanalı kurmamakta; her komut için istismar zincirini yeniden çalıştırarak komut ve sonuçları istismar isteklerinin HTTPS trafiği içinde taşımaktadır. Olay müdahale araştırmasında belgelenen istismar sonrası faaliyetler şunlardır:6
- Cihazda saklanan ve LDAP ile kullanılan etki alanı kimlik bilgilerinin çıkarılması,
- Cihazın Active Directory hizmet hesabıyla LAPS yerel yönetici parolaları, BitLocker kurtarma bilgileri ve parola içeren öznitelikler için sorgu yapılması,
- Cihaz üzerinde ağ trafiğinin kaydedilmesi ve kayıtlardan LDAP, HTTP Basic Authentication kimlik bilgileri ile NTLM özetlerinin ayıklanmaya çalışılması,
- Kerberos tabanlı kimlik bilgisi testleri ve Active Directory hesaplarına yönelik parola püskürtme,
- Cihaz yapılandırmasının ve kimlik doğrulama kayıtlarının toplanması, iç alan adı ve sistem keşfi,
- Cihazın hata ayıklama ve Linux denetim kayıtlarından ilgili girdilerin seçici olarak silinmesi, geçici dosyaların temizlenmesi ve değiştirilen bellek ile yapılandırma verisinin eski hâline getirilmesi.
Bu faaliyetler kimlik hırsızlığı (credential theft) ile kurum ağına yönelik keşfi kapsamaktadır. Araştırmacılar, saldırının tespit edilip kesildiğini ve nihai amacın belirlenemediğini belirtmekle birlikte, gözlemlenen eylemleri yüksek güvenle yatay hareket (lateral movement) ve daha geniş bir ağ ihlali için hazırlık olarak değerlendirmektedir.6
Saldırı yalnızca bellekte değişiklik yaptığı ve değiştirilen yapılandırma verisini eski hâline getirdiği için üreticinin bütünlük kontrol aracının bu değişiklikleri tespit etmediği bildirilmektedir. Bu durum, olası bir ihlalin yalnızca cihaz üzerindeki dosya bütünlüğü kontrolüyle dışlanamayacağı anlamına gelmektedir.6
Kamuya açık güvenilir kaynaklarda UTA0576'nın bilinen bir tehdit aktörüyle, kötü amaçlı yazılım ailesiyle veya adlandırılmış kampanyayla ilişkilendirildiğine dair doğrulanmış bilgi bulunmamaktadır. Araştırmacılar aktörün suç amaçlı motivasyona sahip olduğunu düşük güven ölçeğinde değerlendirmektedir.6
2.5. Sömürü Durumu
Aktif exploit var mı?: Evet. Gerçek saldırıda kullanılan istismar materyali olay müdahale araştırmasında bellek ve disk incelemesiyle yeniden oluşturulmuştur. Bu materyal kamuya yayımlanmamıştır.6
PoC var mı?: Kamuya açık bir PoC iddiası bulunmakla birlikte içerik doğrulanmamakta ve kötü amaçlı yazılım içerebileceği yönünde uyarı yapılmaktadır.7
Gerçek dünya saldırılarında istismar var mı?: Evet. Üretici müşterilerini etkileyen istismarı doğrulamaktadır.1 2
CISA KEV: Katalogda; eklenme tarihi 13.10.2026, işlem son tarihi 16.10.2026. Gerekli işlem, üretici talimatlarına uygun etkisizleştirme uygulanması, bulut hizmetleri için ilgili yönlendirmelerin izlenmesi ve etkisizleştirme mümkün değilse ürün kullanımının bırakılmasıdır. Known Ransomware Campaign Use alanı doğrulanamamıştır.5 8
CISA SSVC:
- Sömürü Durumu: Aktif
- Otomatize Edilebilirlik: Evet
- Teknik Etki: Tam
- Değerlendirme tarihi: 13.10.20264
Olay müdahale araştırmasına göre UTA0576, o tarihte en güncel sürüm olan 22.8R2.4 (Build 19097) sürümünü çalıştıran bir Connect Secure cihazını 03.10.2026 tarihinden itibaren tekrar tekrar istismar etmiştir. İnceleme 05.10.2026 tarihinde başlamış, üretici duyurusu ve CVE kaydı 13.10.2026 tarihinde yayımlanmıştır. Bu nedenle zafiyet, açıklanmadan önce gerçek saldırıda kullanılmış bir 0-day (sıfırıncı gün) niteliğindedir. Bu bulgu tek bir kurumdaki doğrulanmış güvenlik ihlaline dayanmaktadır; diğer etkilenen kurumların sayısı kamuya açıklanmamıştır.4 6
Üretici, zafiyetin bir bölümünün kendi ürün güvenliği programı tarafından tespit edildiğini ve bu bölümün Temmuz 2026'da yayımlanan 25.1.3.0 sürümünde düzeltildiğini, istismarın ise bu düzeltmenin diğer desteklenen sürümlere aktarılması sürecinde gerçekleştiğini belirtmektedir.1 10
Açıklama sonrasında bir tuzak sistem (honeypot) ağının telemetrisinde, 14.10.2026–18.10.2026 arasında 3 sensörde 60 farklı kaynak IP adresinden gelen 125 istismar girişimi kaydedilmiştir. Bu gözlem tarama ve istismar girişimlerini göstermekte, gerçek üretim sistemlerinin ele geçirildiğini kanıtlamamaktadır. Aynı kaynak, zafiyet için kamuya açık bir tarama şablonu bulunduğunu bildirmektedir.7
Vendor/CNA doğrulama seviyesi: Üretici istismarı doğrulamakta, ancak teknik ayrıntı ve güvenilir IOC yayımlamamaktadır. İstismar zincirinin mekanizması bağımsız olay müdahale araştırmasına dayanmaktadır. Kamuya açık PoC iddiası üretici veya CNA tarafından doğrulanmamıştır.1 6 7 10
3. Risk Değerlendirmesi
Ivanti (CNA) — CVSS v3.1: 8.6 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L4
- Saldırı Vektörü (AV): Ağ (N)
- Saldırı Karmaşıklığı (AC): Düşük (L)
- Gerekli Ayrıcalıklar (PR): Yok (N)
- Kullanıcı Etkileşimi (UI): Yok (N)
- Kapsam (S): Değişmez (U)
- Gizlilik (C): Yüksek (H)
- Bütünlük (I): Düşük (L)
- Erişilebilirlik (A): Düşük (L)
NVD kaydında yalnızca CNA değerlendirmesi görüntülenmektedir; NIST tarafından oluşturulmuş ayrı bir CVSS değerlendirmesi bulunmamaktadır. CISA ADP kaydında CVSS değerlendirmesi yer almamaktadır.4 8
CNA açıklaması saldırganın keyfi komut çalıştırabildiğini belirtirken vektörde bütünlük ve erişilebilirlik etkileri düşük olarak değerlendirilmektedir. Bu rapor, yayımlanmış vektörü değiştirmemektedir. Gözlemlenen saldırıda ulaşılan root yetkisinin bu CVE'nin değil ayrı yetki yükseltme açığının sonucu olduğu dikkate alınmalıdır.4 6
İstismar Öngörü Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):
- EPSS: %25,982
- Percentile: %97,967
- Veri tarihi: 18.10.2026
EPSS değeri, zafiyetin müteakip 30 gün içinde istismar edilme olasılığına ilişkin istatistiksel tahmindir ve tek başına istismar kanıtı değildir. Bu vakada gerçek dünya istismarı ayrıca üretici açıklaması, CISA KEV kaydı ve olay müdahale bulgularıyla doğrulanmaktadır.9
Zafiyetin internet üzerinden kimlik doğrulaması olmadan istismar edilebilmesi, kenar ağ cihazı olarak kurumun kimlik altyapısına bağlı çalışan bir ürünü etkilemesi, gerçek saldırıda kimlik bilgisi hırsızlığına yönelik kullanılması ve CISA SSVC değerlendirmesinde otomatize edilebilir ve tam teknik etkili olarak sınıflandırılması birlikte değerlendirildiğinde, etkilenen sürümlerin güncellenmesi ertelenmemelidir. Gözlemlenen saldırıda kullanılan yetki yükseltme açığının henüz düzeltilmemiş olması, güncellemeden önce kod yürütme sağlanmış cihazlarda root düzeyinde ihlal ihtimalinin göz ardı edilmemesini gerektirmektedir.2 4 6
4. Etkisizleştirme (Mitigation)
Üretici, güvenlik güncellemesinin yerine geçecek bir geçici çözüm (workaround) yayımlamamıştır. Temel yönlendirme, kullanılan sürüm aralığına ait düzeltilmiş sürümün kurulmasıdır. CISA KEV gerekli işlem alanı, etkisizleştirme mümkün değilse ürün kullanımının bırakılmasını öngörmektedir.1 5 10 11
Güncellemenin hemen uygulanamadığı kısa süre için aşağıdaki genel savunma kontrolleri değerlendirilebilir. Bu kontroller üretici tarafından doğrulanmış geçici çözüm değildir:
- Cihazın önünde ters vekil veya web uygulaması güvenlik duvarı bulunuyorsa, dış istemcilerden gelen isteklerdeki X-DSCGI-PATH başlığının engellenmesi veya en azından kayda alınması. Engelleme, ürünün olağan çalışmasını etkilemediği kontrollü ortamda doğrulandıktan sonra uygulanmalıdır.6
- Cihazın Active Directory ile kullandığı hizmet hesabının yetkilerinin yalnızca gerekli sorgularla sınırlandırılması ve bu hesabın etki alanı denetleyicisi üzerindeki faaliyetlerinin izlenmesi.6
- Cihazdan kurum iç ağına yönelik beklenmeyen bağlantıların, özellikle LDAP ve Kerberos trafiğinin ve kimlik doğrulama denemelerinin izlenmesi.6
- Güvenlik ihlali şüphesi bulunan cihazlarda, güncelleme veya yeniden başlatma öncesinde bellek ve disk kanıtlarının korunması. Olay müdahale araştırması, bu saldırının izlerinin yalnızca bellek ve ağ incelemesiyle bulunabildiğini belirtmektedir.6
- İnternete açık Connect Secure varlıklarının ve çalıştırdıkları sürümlerin envanterlenmesi.
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
Kalıcı çözüm, kullanılan Connect Secure sürüm aralığı için düzeltilmiş sürümü kurmak ve güncellemenin başarıyla tamamlandığını doğrulamaktır.1 2
- 25.1.1.1 ve öncesi: 25.1.1.2
- 25.1.2.2 ve öncesi: 25.1.3.0 veya 25.1.3.1
- 22.8R2.4 ve öncesi: 22.8R2.5
- 22.7R2.14 ve öncesi: Etkilenmemektedir.
Minimum güvenli sürüm: Kullanılan aralığa göre 25.1.1.2, 25.1.3.0 veya 22.8R2.5'tir. Bu sürümler yalnızca CVE-2026-104935'i gidermektedir; gözlemlenen saldırıda kullanılan yetki yükseltme açığı için düzeltme henüz yayımlanmamıştır.2 6
Güncel desteklenen ve önerilen sürüm: Üretici 25.x sürüm hattına geçilmesini önermekte ve 22.x hattının desteğinin 31.01.2027 tarihinde sona ereceğini belirtmektedir. Yetki yükseltme açığına ait düzeltme yayımlandığında bu düzeltmeyi içeren sürüm uygulanmalıdır.2
Güncelleme, daha önce gerçekleşmiş bir güvenlik ihlalini ortadan kaldırmamaktadır. Üretici, istismar şüphesi bulunan müşterileri 22.8x ve 25x sürümleri için yayımladığı kurtarma adımlarına yönlendirmektedir. Ele geçirilen cihazdan çalınabilecek bilgiler arasında cihazda saklanan etki alanı kimlik bilgileri, Active Directory hizmet hesabı, LAPS yerel yönetici parolaları ve BitLocker kurtarma bilgileri bulunduğundan, ihlal şüphesi bulunan kurumların bu kimlik bilgileri ve anahtarlar için olay müdahalesi kapsamında değerlendirme yapması gerekmektedir. Bu değerlendirme olay müdahale bulgularından türetilmiş genel bir öneridir; üretici talimatı değildir.6 10
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Saldırgan, cihazın kendi hata ayıklama ve Linux denetim kayıtlarından ilgili girdileri seçici olarak silmektedir. Bu nedenle cihaz dışındaki ters vekil, güvenlik duvarı, ağ izleme ve etki alanı denetleyicisi kayıtları öncelikli kaynak olarak kullanılmalıdır.6
- /dana-na/auth/url_default/welcome.cgi yoluna kısa sürede yoğun sayıda istek gönderilmesi,
- Bu yola gelen isteklerde X-DSCGI-PATH başlığının bulunması; özellikle değerin /home/webserver/htdocs/dana/fb/smb/wu.cgi veya /home/runtime/tmp/ altındaki bir dosyayı göstermesi,
- İstek URL yolu ile X-DSCGI-PATH başlığında belirtilen yol arasında uyumsuzluk. Olay müdahale araştırması, saldırganların farklı URL ve başlık hedefleri kullanabileceğini belirtmektedir,
- Cihazın Active Directory hizmet hesabıyla LAPS, BitLocker kurtarma bilgisi veya parola içeren öznitelikler için yapılan olağan dışı LDAP sorguları,
- Cihazın IP adresinden kaynaklanan Kerberos kimlik bilgisi testleri ve çok sayıda hesaba yönelik başarısız kimlik doğrulama denemeleri,
- Cihazda istismar sonucunda oluşan beklenmeyen çekirdek dökümleri (core dump),
- Cihazın hata ayıklama veya denetim kayıtlarında belirli zaman aralıklarına ait girdilerin beklenmedik biçimde eksik olması.
Geriye dönük inceleme için, bilinen en erken istismar tarihi olan 03.10.2026 başlangıç noktası olarak kullanılabilir. Ancak istismarın daha önce de gerçekleşmiş olabileceği, kayıt saklama süreleri ve saat dilimi farkları dikkate alınmalıdır.6
6.2. IOC
Aşağıdaki güvenlik ihlali göstergeleri (Indicator of Compromise, IOC), olay müdahale araştırmasında incelenen vakada gözlemlenmiştir. Üretici, açıklama tarihinde güvenilir IOC bulunmadığını belirtmektedir. Tek bir gösterge, ek olay verisi olmadan kesin atıf veya başarılı istismar kanıtı sayılmamalıdır.6 10
HTTP başlık değerleri:
- X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi
- X-DSCGI-PATH: /home/runtime/tmp/<MD5(dosya adı)>
Cihaz üzerindeki dosya ve süreç göstergeleri:
- /data/.icscap/ gizli dizini; bu dizinde dsstatmond adıyla çalıştırılan yeniden adlandırılmış paket yakalama aracı, cap* biçiminde dönen kayıt dosyaları ve h.py
- /tmp/ml.py, /tmp/rq5.py, /tmp/mk.py, /tmp/rr.py
- sp_run.py, sp_out.txt, spray_hits.json, /tmp/pu.txt
- /tmp/ altında zlib ile sıkıştırılmış ve Base64 ile kodlanmış JSON dosyaları
- /home/runtime/tmp/ics-root-run-inband-.pl ve /home/runtime/tmp/ics-root-result-inband-
Saldırgan geçici dosyaların bir bölümünü kendisi silmekte; bu nedenle bu dosyaların bulunmaması ihlal olmadığını göstermemektedir. Olay müdahale araştırmasını yürüten firma ek göstergeleri kendi GitHub deposunda yayımladığını belirtmektedir.6
Tuzak sistem telemetrisinde gözlemlenen 60 kaynak IP adresi kamuya açık olarak yayımlanmamış, erişim kontrollü olarak sunulmaktadır.7
6.3. Tespit Kuralı Önerisi
Erişilebilen kaynaklarda bu vakaya özgü, doğrulanmış ve kamuya açık hazır Sigma, YARA veya IDS/IPS kuralı tespit edilmemiştir. Kamuya açık olduğu bildirilen tarama şablonu, sistemin savunmasız olup olmadığını ölçmeye yöneliktir ve başarılı istismar veya güvenlik ihlali kanıtı sağlamamaktadır.7 Aşağıdaki davranış korelasyonu öneridir:
- İnternete açık Connect Secure cihazlarının sürümlerinin ve düzeltme durumlarının belirlenmesi.
- Ters vekil, web uygulaması güvenlik duvarı veya ağ izleme kayıtlarında welcome.cgi isteklerinde X-DSCGI-PATH başlığı bulunan ve URL yolu ile başlık hedefi uyuşmayan isteklerin aranması.
- Aynı kaynaktan kısa aralıklarla gelen yoğun istek serilerinin önceliğinin yükseltilmesi.
- Bu isteklerin zaman aralığının, cihazın IP adresinden etki alanı denetleyicilerine yönelik olağan dışı LDAP sorguları, Kerberos istekleri ve başarısız kimlik doğrulama denemeleriyle ilişkilendirilmesi.
- Korelasyon doğrulanırsa cihazın yalnızca taranmış değil, olası güvenlik ihlaline uğramış olarak ele alınması ve bellek ile ağ incelemesinin başlatılması.
Ters vekil ve güvenlik duvarı katmanlarının HTTP başlıklarını varsayılan olarak kaydetmeyebileceği dikkate alınmalıdır. Geliştirilen kurallar üretime alınmadan önce olağan Connect Secure trafiğiyle kontrollü ortamda test edilmelidir.
7. Kaynaklar
- Ivanti - Security Advisory - Ivanti Connect Secure (CVE-2026-104935)
- Ivanti - October 2026 Patch Tuesday
- Ivanti - Always-on SSL VPN for Anywhere Access Solution
- CVE Program - CVE Record: CVE-2026-104935
- CISA - Known Exploited Vulnerabilities Catalog
- Volexity - A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
- Previdian - CVE-2026-104935 Exploitation Observed — Connect Secure
- NIST NVD - CVE-2026-104935 Detail
- FIRST - EPSS API
- Rapid7 - Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935)
- watchTowr - Ivanti Connect Secure FAQ: CVE-2026-104935
