Ivanti Connect Secure Sıfırıncı Gün Zinciri: İz Bırakmayan UTA0576 Saldırısı

Edge cihazları, yani VPN kutuları, firewall'lar, uzaktan erişim ağ geçitleri, son yılların en sevilen hedefi. Sebebi basit: internete açıklar, içeride kritik kimlik bilgilerine yakınlar ve çoğu zaman üstlerinde tam teşekküllü bir EDR yok. Ivanti Connect Secure tarafında bu hafta çıkan olay, bu cihazların ne kadar sessizce ele geçirilebileceğinin iyi bir örneği.

Ne oldu?

Bir olay müdahale firması (Volexity), izlediği bir müşteride 5 Ekim'den itibaren yürüttüğü incelemede, tamamen yamalı bir Ivanti Connect Secure cihazının ele geçirildiğini buldu. Saldırgan, daha önce bilinmeyen UTA0576 olarak takip edilen bir aktör ve üç ayrı sıfırıncı gün açığını zincirlemiş:

1. welcome.cgi içinde bir kimlik doğrulama atlatma: istek, bir başlıkta korumalı bir betiği işaret ediyor ve cihaz isteği normalde giriş gerektiren koda yönlendiriyor.
   
2. wu.cgi içinde bir dosya yükleme açığı: yüklenen dosya kontrol edilmeden yazılıyor; bir yarış durumu (race condition) saldırganın dosyayı silinmeden önce çalıştırmasına izin veriyor.
   
3. dsinvoked servisinde bir yetki yükseltme: paylaşımlı yapılandırma deposuna güvenen bu servis, kod çalıştırmayı root'a çeviriyor.
   

Ivanti ilk iki açığı CVE-2026-104935 altında 13 Ekim'de yamaladı; üçüncü (yetki yükseltme) açığı için düzeltme hala bekleniyor. CISA açığı 13 Ekim'de KEV kataloğuna ekledi ve federal kurumlara 16 Ekim son tarihini verdi.

Asıl rahatsız edici kısım: iz yok

UTA0576 ne zararlı yazılım ne de web shell bırakmış. Bunun yerine:

• Her komutu baştan sona aynı istismar zinciri üzerinden göndermiş.
  
• Kütüphane kodunu sadece bellekte yamalamış (diske dokunmamış).
  
• Yapılandırma deposunu eski haline döndürüp debug ve audit loglarından kendi kayıtlarını silmiş.
  

Sonuç: Ivanti'nin kendi Bütünlük Denetleyici Aracı (Integrity Checker Tool) sadece diskteki dosyaları karşılaştırdığı için hiçbir şey raporlamıyor. Yani "bütünlük kontrolü temiz" demek, cihazın temiz olduğu anlamına gelmiyor. Bu detay bence olayın en önemli dersi.

İçeri girdikten sonra aktör; cihazda saklı kimlik bilgilerini çıkarmış, Active Directory'de yerel yönetici parolaları (LAPS) ve BitLocker kurtarma anahtarlarını sorgulamış, LDAP trafiğini yakalamış, Kerberos araçları ve parola püskürtme (password spraying) çalıştırmış. Volexity, saldırganın istismar geliştirmede büyük dil modelleri kullanmış olabileceğini orta güvenle değerlendiriyor.

Ne yapmalı?

• Connect Secure'u 22.8R2.5, 25.1.1.2, 25.1.3.0 veya 25.1.3.1'e yükseltin; üçüncü açık için gelecek yamayı planlayın.
  
• Yama öncesi ve sonrası avlanın: welcome.cgi'ye URL ile uyuşmayan X-DSCGI-PATH başlığı taşıyan istekler, /tmp ve /data/.icscap altında dosyalar, cihazdan başlayan garip LDAP/Kerberos hareketleri.
  
• Ele geçirmeyi dışlayamıyorsanız bellek ve disk imajı ile ağ loglarını toplayın; bütünlük denetleyici bunu göstermez.
  
• Cihazın tuttuğu tüm kimlik bilgilerini ele geçirilmiş sayın: AD servis hesabı, VPN ve LDAP sırları, LAPS parolaları, BitLocker kurtarma anahtarları. Cihaz temizlendikten sonra hepsini döndürün.
  

Severity etiketine kanmayın: yamalanan açık "yüksek" (CVSS 8.6) görünse de, yamasız üçüncü açıkla birleşince sonuç kimlik doğrulamasız root. Temiz bir bütünlük raporu, temiz bir cihaz kanıtı değildir.

Kaynakça

• AboutDFIR - InfoSec News Nuggets 10/16/2026 (CISA ve Ivanti özeti): https://aboutdfir.com/infosec-news-nuggets-10-16-2026/
  
• iZOOlogic - Weekly Threat Intelligence Report 09-16 October 2026: https://izoologic.com/financial-malware/...ober-2026/
  
• CISA KEV Kataloğu: https://www.cisa.gov/known-exploited-vul...es-catalog
  

Görsel: TurkTeam özgün kapak görseli