Ivanti Connect Secure: अक्टूबर से तीन खामियों का हमलों में इस्तेमाल, अपडेट करें और सेंध की जाँच करें

क्या हुआ

Ivanti Connect Secure एक VPN डिवाइसऐसा सर्वर जिससे कर्मचारी बाहर से कंपनी के नेटवर्क में जुड़ते हैं; यह इंटरनेट पर खुला रहता है, इसलिए हमलावरों के लिए आकर्षक निशाना है है, जिसे कंपनियाँ और सरकारी संस्थाएँ इस्तेमाल करती हैं। 13 अक्टूबर 2026 को CISA ने पहली खामी CVE-2026-104935 को अपनी Known Exploited Vulnerabilities सूचीCISA की सार्वजनिक सूची, जिसमें वे खामियाँ हैं जिनके असली हमलों में इस्तेमाल के सबूत हैं में डाला और पैच करने को कहा। 30 अक्टूबर को उसने यह अलर्ट अपडेट किया और दो और खामियाँ जोड़ीं, CVE-2026-111357 और CVE-2026-118527। Ivanti ने आख़िरी खामी का CVE रिकॉर्ड 3 नवंबर को जारी किया।

CISA का कहना है कि ये खामियाँ मिलकर बिना ऑथेंटिकेशन के दूर से कोई भी कमांड चलाने देती हैं, और हमलावर इनसे क्रेडेंशियल चुरा रहे हैं और डेटा बाहर भेज रहे हैं। तकनीकी जानकारी के लिए CISA, Volexity की उस रिसर्च की सलाह देती है जो इन ज़ीरो-डेऐसी खामियाँ जिनका हमलावरों ने कंपनी का सुधार आने से पहले ही इस्तेमाल किया खामियों के चेन वाले इस्तेमालहमलावर कई छोटी खामियों को एक के बाद एक जोड़ता है, और हर खामी अगली के लिए रास्ता खोलती है पर है।

तीनों खामियाँ

पहली खामी ऑथेंटिकेशन बायपास की है। Ivanti के CVE रिकॉर्ड के अनुसार 25.1.3.0 से पहले के वर्शन में बिना लॉग-इन वाला दूर बैठा हमलावर कोई भी कमांड चला सकता है। Ivanti ने इसे CVSS 3.1 पर 8.6 स्कोर दिया है।

दूसरी खामी हमलावर को root, यानी डिवाइस पर सबसे ऊँचा नियंत्रण, दिला देती है। MITRE के लिखे रिकॉर्ड के मुताबिक dsinvoked कंपोनेंट DSCache के कॉन्फ़िगरेशन डेटा पर ग़लत तरीके से भरोसा करता है, और इस खामी का "अक्टूबर 2026 में असल में इस्तेमाल" हुआ। इसका वेक्टर लोकल है, जो उस कदम से मेल खाता है जो हमलावर अंदर घुसने के बाद उठाता है।

तीसरी खामी पहले से ऑथेंटिकेटेड हमलावर को अपनी मर्ज़ी के कंटेंट वाली फ़ाइलें डिस्क पर एक तय, अनुमान लगाने लायक जगह पर अपलोड करने देती है। अकेले देखें तो 4.3 का CVSS स्कोर हल्का लगता है। लेकिन हमले की चेन में, किसी फ़ाइल को ठीक उसी जगह रखने का भरोसेमंद तरीका ही गायब कड़ी हो सकता है, और CISA ने इसे इस्तेमाल हो रही खामी के रूप में दर्ज किया है।

कौन-सा वर्शन लगाएँ

स्रोतों की जानकारी पूरी तरह मेल नहीं खाती। CISA के अलर्ट में Connect Secure 25.1.1.2 और पुराने, 25.1.2.2 और पुराने, तथा 22.8R2.5 और पुराने वर्शन प्रभावित बताए गए हैं। CVE रिकॉर्ड में CVE-2026-118527 के लिए 25.1.1.3 और 22.8R2.6 को ठीक बताया गया है, और 25.1.3.0, 25.1.3.1 और 22.8R2.5 को CVE-2026-104935 से प्रभावित नहीं बताया गया है। CVE-2026-111357 के रिकॉर्ड में कोई ठीक किया गया वर्शन नहीं दिया गया।

वर्शन नंबर Ivanti की अपनी सुरक्षा सूचना से लें, जिसका लिंक नीचे स्रोतों में है, और अपनी ब्रांच का सबसे नया वर्शन लगाएँ। CISA यह भी याद दिलाती है कि Connect Secure 22.8 का सपोर्ट 31 जनवरी 2027 को ख़त्म हो जाएगा, इसलिए इस ब्रांच से हटने की योजना बनाएँ।

अभी क्या करें

1. Ivanti की हार्डवेयर या वर्चुअल डिवाइस वाली अपग्रेड गाइड के अनुसार डिवाइस को सूचना में बताए गए सबसे नए वर्शन पर अपडेट करें।
2. जाँचें कि कहीं पहले ही सेंध तो नहीं लग चुकी। CISA चेतावनी देती है कि Ivanti का Integrity Checker Tool शायद CVE-2026-104935 के इस्तेमाल को न पकड़ पाए, क्योंकि हमलावर के कमांड मेमोरी में चलते हैं। वह नेटवर्क और मेमोरी की फ़ॉरेंसिक जाँच की सलाह देती है।
3. सेंध का शक हो, तो कॉन्फ़िगरेशन का बैकअप लें, डिवाइस को फ़ैक्टरी रीसेट करें और अपग्रेड करें। वर्चुअल और क्लाउड इंस्टेंस दोबारा बनाएँ। फिर कॉन्फ़िगरेशन वापस लगाएँ।
4. डिवाइस इस्तेमाल करने वाले सभी अकाउंट के पासवर्ड बदलें, उस पर रखे सर्टिफ़िकेट रद्द करके नए जारी करें, और सेव की गई API की तथा लाइसेंस सर्वर के क्रेडेंशियल बदलें।

अभी क्या पता नहीं

CISA ने हमलावरों के नाम नहीं बताए और न ही यह कि कितनी संस्थाएँ प्रभावित हुईं। हमें कोई सार्वजनिक प्रूफ़ ऑफ़ कॉन्सेप्ट कोड नहीं मिला, और चेन की जानकारी Volexity की रिसर्च से आती है, Ivanti से नहीं। Ivanti या CISA के और जानकारी देने पर हम यह लेख अपडेट करेंगे।

इन्हीं हफ़्तों में दूसरी खामियाँ भी हमलों में इस्तेमाल हुईं। 26 से 29 अक्टूबर की CISA सूची के हमारे सारांश में Cisco फ़ायरवॉल की VPN खामी भी है, जो रिमोट एक्सेस को ही निशाना बनाती है, और WordPress अपडेट की खामी एक अलग तरह के हमले का समय दिखाती है।