CISA ने दो Ivanti VPN Flaws को Exploited-Vulnerability Catalog को क्रिटिकल बग लैंड्स टुडे के लिए फेडरल डेडलाइन के रूप में जोड़ा
अमेरिकी साइबर सुरक्षा और इन्फ्रास्ट्रक्चर सुरक्षा एजेंसी (सीआईएसए) ने 30 अक्टूबर को अपनी सुरक्षा चेतावनी को अद्यतन किया ताकि इवंती कनेक्ट सिक्योर एंटरप्राइज वीपीएन उपकरण, CVE-2026-111357 और CVE-2026-118527 में दो भेद्यताएं शामिल की जा सके। Ivanti Connect Secure का व्यापक रूप से कंपनियों और सरकारी एजेंसियों द्वारा दूरस्थ पहुंच के लिए उपयोग किया जाता है, और CISA का कहना है कि धमकी अभिनेता सक्रिय रूप से दोषों का शोषण कर रहे हैं।
CISA की चेतावनी के अनुसार, तीन दोषों की श्रृंखला एक साथ: CVE-2026-104935 के साथ संयुक्त, जिसे 13 अक्टूबर को कैटलॉग में जोड़ा गया था, वे मनमाने ढंग से आदेशों को निष्पादित करने, क्रेडेंशियल चोरी करने और डेटा को exfiltrate करने के लिए दूरस्थ, unauthenticated हमलावर की अनुमति देते हैं। प्रभावित संस्करण कनेक्ट सिक्योर 25.1.1.2 और पूर्व, 25.1.2.2 और पूर्व, और 22.8R2.5 और पूर्व हैं। सुरक्षा फर्म Volexity कहते हैं कि एक अभिनेता यह ट्रैक करता है क्योंकि UTA0576 ने अक्टूबर की शुरुआत से श्रृंखला का फायदा उठाया है, एक मामले में पूरी तरह से पैच किए गए उपकरण में टूट गया, रूट एक्सेस प्राप्त करना और सक्रिय निर्देशिका क्रेडेंशियल के लिए सीधे जाना।
दो नए सूचीबद्ध खामियों में से, CVE-2026-111357 एक लापता-authentication मुद्दा है जिसे CVSS 8.8 रेट किया गया है जो स्थानीय प्रमाणित हमलावर को रूट करने की अनुमति देता है; इसकी संघीय समय सीमा नवंबर 2 है। CVE-2026-118527, एक अनुमानित-identifier मुद्दा CVSS 4.3 को रेट किया गया, डिस्क पर एक ज्ञात स्थान पर एक दूरस्थ अधिकृत हमलावर फ़ाइलों को अपलोड करने देता है; इसकी समय सीमा 13 नवंबर है। Ivanti ने 29 अक्टूबर को 22.8R2.6 और 25.1.1.3 का निर्माण किया।
CISA तुरंत नवीनतम संस्करण को अपडेट करने के लिए हर संगठन को प्रभावित उपकरणों को चलाने का आग्रह करता है। यह भी चेतावनी देता है कि Ivanti की अखंडता चेकर टूल CVE-2026-104935 के शोषण का पता नहीं लगा सकता क्योंकि हमलावर के आदेश स्मृति में निष्पादित होते हैं; संगठनों को एक समझौता करने की जरूरत नेटवर्क और मेमोरी फोरेंसिक का संदेह है और Ivanti की वसूली प्रक्रियाओं का पालन करना चाहिए, खाता पासवर्ड, प्रमाणपत्र और चाबियाँ को रीसेट करना। CISA भी नोट करता है कि कनेक्ट सिक्योर वर्जन 22.8 31 जनवरी 2027 को जीवन के अंत तक पहुँचता है।
स्रोत: GSM · संयुक्त राज्य अमेरिका (अंग्रेज़ी संस्करण · मूल चीनी संस्करण)
फ़ोटो: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
