Ivanti Connect Secure'da yeni açıklanan bir kimlik doğrulama atlatma açığı hâlihazırda saldırılarda kullanılıyor ve CISA kuruluşları hızlı hareket etmeye çağırıyor. CVE-2026-104935 olarak takip edilen bu açık yüksek önem derecesiyle sınıflandırılıyor ve Cyber Daily'nin haberinde alıntılanan bir analist, açığı istismar etmeyi "inanılmaz derecede basit" olarak nitelendiriyor. Kuruluşunuz bu VPN ağ geçidini çalıştırıyorsa, Ivanti Connect Secure sıfır gün yaması listenizin en başına taşınmalı.

Kamuya açık ayrıntılar hâlâ sınırlı, bu nedenle bu yazı bildirilenlerle sınırlı kalıyor ve atabileceğiniz pratik adımlara odaklanıyor.

CVE-2026-104935 Nedir ve Neden İstismar Ediliyor

CVE-2026-104935, Ivanti Connect Secure'da bir kimlik doğrulama atlatma açığıdır. Basit bir ifadeyle, bir kimlik doğrulama atlatma açığı, saldırganın dışarıdakileri bir sistemden uzak tutması gereken oturum açma adımını aşmasına olanak tanır. Saldırgan bir parola çalmak veya bir kullanıcıyı kandırmak yerine kontrolü tamamen atlar.

İki ayrıntı bunun neden dikkat çektiğini açıklıyor. Birincisi, açık, saldırganların hâlihazırda hedef aldığı bir sıfır gün olarak tanımlanıyor. İkincisi, bir analist bunu istismar etmeyi "inanılmaz derecede basit" olarak nitelendirdi. Kimlik bilgisi gerektirmeyen ve az beceri isteyen basit hatalar hızla yayılma eğilimindedir, çünkü daha fazla saldırgan bunları kullanabilir ve otomatik tarama pratik hale gelir.

CISA hızlı hareket edilmesi çağrısında bulundu. Kaynak makale bize etkilenen sürüm numaraları veya saldırganın kimliği gibi daha fazla teknik ayrıntı vermiyor, bu nedenle bu ayrıntılar için ikinci el özetlere güvenmek yerine Ivanti'nin resmi uyarısına bakın.

VPN Ağ Geçidiniz Etkilendi mi? İhlal Belirtileri Nasıl Kontrol Edilir

Temellerle başlayın: şube ofislerindeki, test ortamlarındaki veya bulut dağıtımlarındaki eski veya unutulmuş cihazlar dahil olmak üzere, Ivanti Connect Secure'ı çalıştırıp çalıştırmadığınızı doğrulayın. Yönetilmeyen ağ geçitleri genellikle yamasız kalanlardır.

Ardından, yüklü sürümünüzü Ivanti'nin uyarısında listelenen sürümlerle karşılaştırın. Etkilenen bir aralıktaysanız, cihaz güncellenene kadar risk altında olduğunu varsayın.

Saldırıların sürdüğü bildirildiğine göre, yalnızca yama yapmak yeterli olmayabilir. Bir düzeltme mevcut olmadan önce istismar edilmiş bir atlatma açığı iz bırakmış olabilir. Makul adımlar şunları içerir:

  • Özellikle tanıdık olmayan IP adreslerinden veya alışılmadık saatlerde beklenmeyen oturum açmalar için kimlik doğrulama ve yönetici günlüklerini gözden geçirmek.
  • Cihazda yeni veya değiştirilmiş hesaplar, yapılandırma değişiklikleri ya da tanıdık olmayan dosyalar aramak.
  • Satıcının sağladığı herhangi bir bütünlük kontrol aracını çalıştırmak ve sonuçların ne anlama geldiğine ilişkin rehberliğini izlemek.
  • Yönetim arayüzüne genel internetten erişilebilir olması gerekmediği halde erişilebilir olup olmadığını kontrol etmek.

Şüpheli bir şey bulursanız, bunu bir olay olarak ele alın: cihazı izole edin, günlükleri koruyun ve tekrar çevrimiçi hale getirmeden önce satıcı ve CISA rehberliğini izleyin.

CISA Rehberliğini İzleyen Yama ve Azaltma Adımları

En net talimat, sürümünüz için mevcut olur olmaz satıcı düzeltmesini uygulamaktır. CISA'nın hızlı hareket edilmesi çağrısı, burada rutin bir bakım penceresini beklemenin riskli bir seçim olduğuna işaret ediyor.

Pratik bir sıralama şöyle görünür:

  1. Güncellemeyi uygulayın. Ivanti tarafından sağlanan yamayı yükleyin veya sürümünüz için bir düzeltme henüz mevcut değilse satıcının yayımladığı herhangi bir geçici azaltma önlemini izleyin.
  2. Maruziyeti kısıtlayın. Yönetim erişimini güvenilir ağlarla sınırlayın ve mümkün olduğunda ağ geçidinin önüne ek kontroller koyun.
  3. İhlal şüphesi varsa kimlik bilgilerini değiştirin. Buna yerel hesaplar ve cihazda depolanan veya cihaz üzerinden erişilebilen tüm sırlar dahildir.
  4. Sonrasında izleyin. Yama uygulandıktan sonra bir süre boyunca yüksek düzeyde günlük kaydını sürdürün, çünkü daha önceki bir izinsiz giriş hemen görünmeyebilir.
  5. Belgeleyin ve bildirin. Ne bulduğunuzu ve ne yaptığınızı kaydedin ve kuruluşunuz için geçerli olan tüm bildirim yükümlülüklerini izleyin.

Kesin yama sürümleri ve azaltma adımları için doğrudan Ivanti ve CISA'ya güvenin, çünkü bu talimatlar durum geliştikçe güncellenebilir.

VPN Cihazları Neden Yüksek Değerli Hedeflerdir

VPN ağ geçitleri bir ağın kenarında yer alır ve tasarım gereği internete bakar. Bu da onları herkes tarafından erişilebilir kılar ve başarılı bir ihlal, iç sistemlere doğrudan bir yol sunabilir. Saldırganlar onları sever çünkü bu cihazlar genellikle geniş ayrıcalıklarla çalışır ve birçok kullanıcı için kimlik bilgilerini işleyebilir.

Kenar cihazları, dizüstü bilgisayarlar veya sunuculardan daha zor izlenebilir, çünkü aynı güvenlik ajanlarını desteklemeyebilirler. Bu boşluk saldırganlara fark edilmeden çalışmak için daha fazla zaman tanır. Bu örüntü, saldırganların erişimi koruyan altyapıyı hedef aldığı daha geniş bir kaymanın parçasıdır; bu tema, son casusluk kampanyalarında hız ve ölçeğin saldırganın lehine olduğu yapay zekânın saldırgan yardımcısından özerk operatöre nasıl geçtiğine dair incelememizde de görülmektedir.

Bu Sizin İçin Ne Anlama Geliyor

Ivanti Connect Secure'ı yönetiyorsanız, bu acil bir görevdir: cihazlarınızı belirleyin, yamayı uygulayın ve ihlal belirtilerini kontrol edin. Sessiz bir günlüğün temiz bir cihaz anlamına geldiğini varsaymayın.

Bir şirket VPN'sinin çalışanı veya uzaktan kullanıcısıysanız, ağ geçidine kendiniz yama uygulayamazsınız, ancak BT ekibinize etkilenip etkilenmediğini ve düzeltmenin uygulanıp uygulanmadığını sorabilirsiniz. Hesaplarınızda güçlü, benzersiz parolalar ve çok faktörlü kimlik doğrulama kullanın ve beklenmeyen oturum açma istemlerini veya hesap uyarılarını bildirin. Bir kimlik doğrulama atlatma açığının oturum açmaları atlayabileceğini unutmayın; bu nedenle bu alışkanlıklar riski azaltır ancak yama uygulamanın yerini tutmaz.

Bir tüketici VPN hizmeti kullanıyorsanız, bu özel sorun Ivanti'nin kurumsal ürünüyle ilgilidir, tüketici uygulamalarıyla değil. Yine de bu, internete bakan herhangi bir uzaktan erişim sisteminin düzenli güncellemelere ihtiyaç duyduğunun faydalı bir hatırlatıcısıdır.

Önemli Çıkarımlar

  • Saldırıların hâlihazırda gerçekleştiği bildirildiğine göre, CVE-2026-104935 için Ivanti Connect Secure sıfır gün yamasını acil olarak ele alın.
  • Hangi ağ geçitlerinizin Ivanti Connect Secure çalıştırdığını doğrulayın ve sürümlerini Ivanti'nin uyarısıyla karşılaştırın.
  • Yama uyguladıktan sonra bile ihlal belirtileri için günlükleri ve cihaz bütünlüğünü gözden geçirin.
  • Güncellendikçe CISA'nın rehberliğini ve Ivanti'nin resmi talimatlarını izleyin.
  • Bu anı, kuruluşunuzun uzaktan erişim altyapısını nasıl güvence altına aldığını gözden geçirmek için kullanın; buna yönetim arayüzlerinin maruziyeti ve kenar cihazlarının izlenmesi dahildir.

Önce yama uygulayın, sonra araştırın ve izlemeye devam edin: bu sıralama, bunun bir adım önünde kalmanız için en iyi şansı verir.

SSS (her soruyu ve cevabı çevirin): Q1: CVE-2026-104935 nedir? A1: CVE-2026-104935, Ivanti Connect Secure'da bir saldırganın dışarıdakileri bir sistemden uzak tutması gereken oturum açma adımını aşmasına olanak tanıyan bir kimlik doğrulama atlatma açığıdır. Q2: Bu güvenlik açığı neden bu kadar tehlikeli kabul ediliyor? A2: Saldırganların hâlihazırda hedef aldığı bir sıfır gündür ve bir analist bunu istismar etmeyi 'inanılmaz derecede basit' olarak nitelendirdi; bu, kimlik bilgisi ve az beceri gerektirdiği anlamına gelir ve hızla yayılmasına yardımcı olur. Q3: Kuruluşumun etkilenip etkilenmediğini nasıl anlayabilirim? A3: Şube ofislerindeki, test ortamlarındaki veya bulut dağıtımlarındaki unutulmuş cihazlar dahil olmak üzere Ivanti Connect Secure çalıştırıp çalıştırmadığınızı doğrulayın, ardından yüklü sürümünüzü Ivanti'nin uyarısındaki etkilenen sürümlerle karşılaştırın. Q4: Cihaz hâlihazırda istismar edilmiş olabilecekken yalnızca yama uygulamak yeterli mi? A4: Hayır, çünkü istismar edilen bir atlatma açığı iz bırakmış olabilir; bu nedenle kimlik doğrulama ve yönetici günlüklerini gözden geçirmeli, yeni hesaplar veya yapılandırma değişiklikleri aramalı, satıcı bütünlük kontrol araçlarını çalıştırmalı ve yönetim arayüzünün herkese açık olup olmadığını kontrol etmelisiniz. Q5: Bu güvenlik açığını ele almak için önce ne yapmalıyım? A5: Sürümünüz için mevcut olur olmaz satıcı düzeltmesini uygulayın, çünkü CISA rutin bir bakım penceresini beklemek yerine hızlı hareket edilmesi çağrısında bulundu. ---END---