ఫిక్స్ రంధ్రాన్ని మూసేస్తుంది, కానీ ముందటి రోజుల గురించి ఏమీ చెప్పదు
ఫిక్స్ రాకముందే ఒక లోపంపై దాడి జరిగినప్పుడు, ఫిక్స్‌ను ఇన్‌స్టాల్ చేయడం రంధ్రం మూసుకుందని మాత్రమే చెబుతుంది. అప్పటికే ఎవరైనా లోపలికి వచ్చారో లేదో అది చెప్పదు.
BeyondTrust ఘటనలో మొదటి దాడికి, బహిర్గతానికి మధ్య ఉన్న 47 రోజులను చూపే భావనాత్మక చిత్రణ. ప్యాచ్ లోపాన్ని మూసేస్తుంది కానీ డివైస్ శుభ్రంగా ఉందో లేదో చూపదు.
ఎడ్జ్ డివైస్ అంటే మీ నెట్‌వర్క్ సరిహద్దులో ఉండి ఇంటర్నెట్‌కు ఎదురుగా ఉండే వ్యవస్థ. VPN గేట్‌వేలు, రిమోట్ సపోర్ట్ టూల్స్, ఈమెయిల్ గేట్‌వేలు, ఫైర్‌వాల్‌లు, లోడ్ బ్యాలెన్సర్లు అన్నీ ఎడ్జ్ డివైస్‌లే. అవి బయటి నుంచి చేరగలిగేవి, శక్తివంతమైన యాక్సెస్ ఉన్నవి, వాటి లోపల ఏం జరుగుతోందో చాలా బృందాలకు ఎక్కువగా కనిపించదు.
జీరో-డే అంటే వెండర్ ఫిక్స్ విడుదల చేయకముందే దాడి చేసేవారు వాడే లోపం. ఒక ప్యాచ్ ఏం తేల్చుతుందో, ఏం తేల్చదో చూపడానికి ఈ వ్యాసం ఇటీవలి రెండు ఘటనలను వాడుతుంది. ఎక్స్‌ప్లాయిట్ అయిన ఏ ఎడ్జ్ డివైస్‌కైనా మీరు అనుసరించగల పద్ధతితో, నమ్మాలా లేక తిరిగి నిర్మించాలా అని నిర్ణయించే నియమంతో ఇది ముగుస్తుంది.
ఎడ్జ్ డివైస్‌లపై దాడి ఎందుకు లాభదాయకం
ఎడ్జ్ డివైస్ మూడు సాధారణ కారణాల వల్ల మంచి లక్ష్యం. రూపకల్పనలోనే అది ఇంటర్నెట్‌కు తెరిచి ఉంటుంది. తరచుగా అది నిల్వ చేసిన క్రెడెన్షియల్స్‌ను, మీ నెట్‌వర్క్ లోపల నమ్మకమైన స్థానాన్ని కలిగి ఉంటుంది. అలాగే సాధారణంగా అది లాక్ చేసిన ఆపరేటింగ్ సిస్టమ్‌ను నడుపుతుంది, కాబట్టి మీ సొంత మానిటరింగ్‌ను దానిపై సులభంగా ఇన్‌స్టాల్ చేయలేరు.
ఆ చివరి అంశం కనిపించే దానికంటే ముఖ్యం. మీరు డివైస్‌ను లోపలి నుంచి పరిశీలించలేకపోతే, వెండర్ తనిఖీలు, మీ లాగ్‌లే మీకున్న ఏకైక సాక్ష్యం. తర్వాతి రెండు ఘటనలు చూపినట్లు, ఈ రెండూ విఫలం కావచ్చు. మీరు గమనించే ముందటి సమయం ఎందుకు అంత ముఖ్యమో 72 నిమిషాల బ్రీచ్ విండో భద్రతా బృందాలకు నిజంగా అర్థం ఏమిటి అనే మా ముందటి వ్యాసం వివరిస్తుంది.
ఘటన 1: Ivanti Connect Secure, గొలుసులోని ఒక భాగం ఇంకా తెరిచే ఉంది
Ivanti Connect Secure ఒక VPN గేట్‌వే. 13 October నాడు Ivanti, CVE-2026-104935 కోసం ఒక అడ్వైజరీని ప్రచురించింది. ఇది దాడి చేసేవారు ప్రమాణీకరణను దాటవేసి డివైస్‌పై కమాండ్‌లు నడపడానికి వీలు కల్పించే లోపం. అదే రోజు CISA దీన్ని తన Known Exploited Vulnerabilities కేటలాగ్‌లో చేర్చింది. నిజమైన దాడుల్లో వాడుతున్నట్లు CISA నిర్ధారించిన లోపాల జాబితా ఆ కేటలాగ్, వాటిని ఫెడరల్ ఏజెన్సీలు ఒక నిర్ణీత తేదీలోగా సరిచేయాలి, ఈ లోపానికి అది 16 October.
Volexity అనే సెక్యూరిటీ సంస్థ, దాడి చేసినవారు 3 October నాడు ఒక కస్టమర్ అప్లయన్స్‌పై ఈ లోపాన్ని వాడటం మొదలుపెట్టారని నివేదించింది. ఆ అప్లయన్స్ పూర్తిగా ప్యాచ్ అయిందని, ఫిక్స్‌కు ముందు అందుబాటులో ఉన్న అత్యంత కొత్త బిల్డ్ 22.8R2.4ను నడుపుతోందని Volexity వివరించింది. అది ఒక్క ఘటన మాత్రమే, కాబట్టి బహిర్గతం కాకముందే లోపం వాడబడిందని అది చూపుతుంది. ఎంత విస్తృతంగా వాడారో అది చెప్పదు, పరిమిత సంఖ్యలో కస్టమర్లు ప్రభావితమయ్యారని మాత్రమే Ivanti చెబుతోంది. Rapid7 అడ్వైజరీ సారాంశం ప్రకారం ఫిక్స్ చేసిన వెర్షన్లలో 22.8R2.5, 25.1.1.2, 25.1.3.0, 25.1.3.1 ఉన్నాయి.
ఈ ఘటనను మంచి పాఠంగా మార్చే రెండు వివరాలు ఉన్నాయి. మొదటిది, దాడి గొలుసులో ఒకటి కంటే ఎక్కువ దశలు ఉన్నాయి. వేరే ఒక ప్రివిలేజ్ ఎస్కలేషన్ దశ, అంటే యాక్సెస్‌ను root స్థాయికి పెంచేది, బహిర్గత సమయంలో ఫిక్స్‌లో కవర్ కాలేదని Volexity నివేదించింది. నివేదికపై వచ్చిన కవరేజ్ ప్రకారం దానికి పబ్లిక్ CVE ID లేదు. ఫిక్స్ “రాబోయే వారాల్లో” భవిష్యత్ రిలీజ్‌లో వస్తుందని Volexity చెప్పింది. కాబట్టి ప్రస్తుతానికి “ప్యాచ్ అయింది” అనేది పాక్షికంగా మాత్రమే నిజం.
రెండోది, దాడి వెనుక చాలా తక్కువ ఆనవాళ్లు మిగిలాయి. Volexity కి బ్యాక్‌డోర్ గానీ వెబ్ షెల్ గానీ కనిపించలేదు. ఎక్స్‌ప్లాయిట్ కోడ్, root దశ ఎక్కువగా మెమరీలోనే నడిచాయి, మార్చిన కాన్ఫిగరేషన్ డేటాను తర్వాత పునరుద్ధరించారు, కాబట్టి Ivanti Integrity Checker Tool మార్పులను గుర్తించలేదు. అయినా ఆ టూల్‌ను క్రమం తప్పకుండా నడపమని Ivanti సలహా ఇస్తోంది. దాడి చేసినవారు అప్లయన్స్ డీబగ్, ఆడిట్ లాగ్‌ల నుంచి ఎంపిక చేసిన ఎంట్రీలను తొలగించారని కూడా Volexity కనుగొంది, ఆ శుభ్రపరచడం ఎంతవరకు పనిచేసిందనేది పూర్తిగా నిర్ధారణ కాలేదని చెబుతోంది. బహిర్గత సమయంలో పరిమిత సంఖ్యలో ఇండికేటర్స్ ఆఫ్ కాంప్రమైజ్ అందుబాటులో ఉన్నాయని Ivanti చెబుతోంది, తాను పరిశోధించిన ఒక్క ఘటన నుంచి కొన్నింటిని Volexity ప్రచురించింది.
పాఠం స్పష్టం. ఫిక్స్ చేసిన వెర్షన్ నంబర్ డివైస్ ఇప్పుడు ఏం నడుపుతోందో చెబుతుంది. అంతకుముందు ఏం జరిగిందో అది చెప్పలేదు, వెండర్ చెకింగ్ టూల్ లేదా డివైస్ సొంత లాగ్‌ల నుంచి వచ్చిన శుభ్రమైన ఫలితం కూడా తనంతట తానుగా సరిపోదు.
ఈ చిత్రానికి యాక్సెసిబుల్ టెక్స్ట్ ప్రత్యామ్నాయం
రెండు లోపాలూ బహిర్గతం కాకముందే ఎక్స్‌ప్లాయిట్ అయ్యాయి. టైమ్‌లైన్ ఒకే ఉమ్మడి స్కేల్‌పై 29 August నుంచి 15 October 2026 వరకు నడుస్తుంది, 29 August, 29 September, 15 October వద్ద గుర్తులతో.
BeyondTrust Remote Support: 29 August నాడు ఎక్స్‌ప్లాయిటేషన్ మొదలైంది, 8 October నాడు ప్యాచ్ విడుదలైంది, 15 October నాడు లోపం బహిర్గతమైంది. అంటే బహిర్గతానికి ముందు 47 రోజుల ఎక్స్‌ప్లాయిటేషన్.
Ivanti Connect Secure: 3 October నాడు ఎక్స్‌ప్లాయిటేషన్ మొదలైంది, 13 October నాడు లోపం బహిర్గతమైంది, అంటే 10 రోజుల తర్వాత. బహిర్గత సమయంలో root ప్రివిలేజ్ ఎస్కలేషన్ దశకు ఇంకా ఫిక్స్ లేదు.
ఘటన 2: BeyondTrust Remote Support, వేట August లోనే మొదలవుతుంది
BeyondTrust Remote Support, సపోర్ట్ సిబ్బంది ఇతరుల కంప్యూటర్లను నియంత్రించడానికి వీలు కల్పిస్తుంది. వినియోగదారు తరఫున సిస్టమ్‌లకు లాగిన్ అవ్వడానికి సిబ్బందికి వీలుగా అది క్రెడెన్షియల్స్‌ను ఒక వాల్ట్‌లో నిల్వ చేస్తుంది, అందుకే అది దాడి చేసేవారికి విలువైనది. CVE-2026-102764 ఒక ప్రమాణీకరణ లేని ఫైల్ అప్‌లోడ్ లోపం, అంటే బయటి వ్యక్తి లాగిన్ లేకుండానే డివైస్‌పై ఫైల్‌ను ఉంచవచ్చు. ఇది 26.2.3 వరకు ఉన్న వెర్షన్లను ప్రభావితం చేస్తుంది.
మొదటి దాడి 29 August నాడు జరిగిందని BeyondTrust చెబుతోంది. 8 October నాడు ప్యాచ్‌ను విడుదల చేసింది, SaaS కస్టమర్లకు ఆటోమేటిక్‌గా ప్యాచ్ చేసింది, 15 October నాడు లోపాన్ని బహిర్గతం చేసింది. మా లెక్క ప్రకారం, మొదటి దాడికి, బహిర్గతానికి మధ్య 47 రోజులు ఉన్నాయి. ప్రభావితమైన ఇద్దరు కస్టమర్ల గురించి తనకు తెలుసని BeyondTrust చెబుతోంది, కాబట్టి ఇది కూడా తెలిసిన కేసుల చిన్న సంఖ్య.
ఈ కార్యకలాపాన్ని Google ARMORY CASTLE అనే గ్రూప్‌కు ఆపాదిస్తోంది, గతంలో దాన్ని UNC5221గా ట్రాక్ చేసినట్లు చెబుతోంది, చైనాతో సంబంధం ఉన్న అనుమానిత గూఢచర్య శక్తిగా వర్ణిస్తోంది. అది ఆధారాలపై Google అంచనా, మేము స్వయంగా నిర్ధారించగల విషయం కాదు.
లోపలికి వచ్చిన తర్వాత దాడి చేసినవారు చేసినది ఉపయోగకరమైన భాగం. Google ప్రకారం, మొదటి ఎక్స్‌ప్లాయిట్ అభ్యర్థన తర్వాత సుమారు పదకొండు నిమిషాలకు వారు ఒక వెబ్ షెల్‌ను ఇన్‌స్టాల్ చేశారు. వారు root బ్యాక్‌డోర్‌ను సృష్టించారు, వాల్ట్ నుంచి క్రెడెన్షియల్స్‌ను సేకరించడానికి ప్రయత్నించారు, రీబూట్‌ను తట్టుకునే పర్సిస్టెన్స్ స్క్రిప్ట్‌ను జోడించారు, అప్లయన్స్, వెబ్ సర్వర్, అప్లికేషన్ లాగ్‌లను తొలగించారు. ఈ తరహా పర్సిస్టెన్స్ కాన్ఫిగరేషన్ రీసెట్‌ను కూడా తట్టుకుంటుందని Google చెబుతోంది.
దాన్నుంచే Google సలహా వస్తుంది. మీరు ఏదైనా మార్చడానికి ముందు సాక్ష్యాలను భద్రపరచండి. రాజీపడిందని నిర్ధారణ అయితే, లేదా అది కాదని మీరు ఖండించలేకపోతే, శుభ్రమైన, పూర్తిగా ప్యాచ్ చేసిన ఇమేజ్ నుంచి తిరిగి డిప్లాయ్ చేయండి, ఎందుకంటే కస్టమర్లు అప్లయన్స్ సొంత ఫైల్ సిస్టమ్‌ను ఆడిట్ చేయలేరు. ప్యాచ్ లేదా రీబిల్డ్ తర్వాత మాత్రమే క్రెడెన్షియల్స్‌ను మార్చండి, ఎందుకంటే దాడి చేసేవారి నియంత్రణలో ఉన్న డివైస్‌లో నమోదు చేసిన కొత్త క్రెడెన్షియల్స్ కూడా బహిర్గతమవుతాయి.
ఫైర్‌వాల్, రివర్స్ ప్రాక్సీ వంటి డివైస్ చుట్టూ ఉన్న వ్యవస్థల నుంచి లాగ్‌లను సేకరించండి, ఎందుకంటే డివైస్‌లోని లాగ్‌లు తొలగించబడి ఉండవచ్చు. BeyondTrust కూడా అదే హెచ్చరిక ఇస్తోంది: అప్లయన్స్ బయట ఉంచిన కాపీలే తరచుగా మిగిలిన ఏకైక రికార్డు.
పాఠం: మీ దర్యాప్తు కాలపరిమితి మొదలయ్యేది ప్యాచ్ విడుదలైన తేదీ నుంచి కాదు, మొదటి ఎక్స్‌ప్లాయిటేషన్ తేదీ నుంచి. దాడి చేసేవారి నియంత్రణలో డివైస్ ఉన్నప్పుడు దాని సొంత లాగ్‌లు బలహీనమైన సాక్ష్యం.
చిన్న ఘటనలు చిన్న పాఠాలను జోడిస్తాయి
మొదటి ప్యాచ్ ఎప్పుడూ పూర్తి ప్యాచ్ కాదు. AhsayCBS అనే బ్యాకప్ సర్వర్ ఉత్పత్తిలో దాడి చేసేవారు గొలుసుగా కలిపిన రెండు లోపాలు ఉన్నాయి: ప్రమాణీకరణ దాటవేత, SYSTEMగా నడిచే కమాండ్ ఇంజెక్షన్. ముందటి ఫిక్స్‌లు అసంపూర్ణమని, ఫిక్స్ చేసిన బిల్డ్‌లు v10.3.4.45, v9.15.2.70 అని Help Net Security నివేదించింది. మీరు ముందటి బిల్డ్‌ను వాడి ముందుకు వెళ్లిపోయి ఉంటే, మీరు ఫిక్స్ చేసినదానిపై ఉన్నారో లేదో తనిఖీ చేయండి. తెరిచి ఉన్న సర్వర్లపై దాడి చేసేవారు వెబ్ షెల్‌లను, క్రిప్టోమైనర్లను ఉంచినట్లు నివేదికలు ఉన్నాయి, 8 October నాడు Huntress ఆ దాడులను నమోదు చేసింది.
ముందటి రాజీపడినట్లు సూచన లేకపోయినా, కచ్చితమైన బిల్డ్ నంబర్లు, వేగం ఇంకా ఎందుకు ముఖ్యమో ఇటీవలి ఇతర ఎడ్జ్ లోపాలు చూపిస్తాయి. Citrix పునరావృతమయ్యే ఉదాహరణ, రెండు NetScaler zero-day లోపాలపై దాడులు జరుగుతున్నాయి. Infrastructure teams ఇప్పుడు ఏమి తనిఖీ చేయాలి? గురించిన మా వ్యాసం ముందటి లోపాలను వివరిస్తుంది.
| ఉత్పత్తి | ఏం జరిగింది | దీని నుంచి ఏం తీసుకోవాలి |
|---|---|---|
| Citrix NetScaler (CVE-2026-107406) | SAML కాన్ఫిగరేషన్లలో క్రిటికల్ మెమరీ ఓవర్‌ఫ్లో లోపం, CVSS v4 9.5 రేటింగ్, 8 October నాడు ప్రచురించబడింది. 14.1-73.46, 13.1-64.29 లేదా తర్వాతి వాటిలో ఫిక్స్ చేశారు. 14.1-73.37 నుంచి 14.1-73.41, 13.1-64.23 నుంచి 13.1-64.28 వరకు ప్రభావితమని బులెటిన్ జాబితా చేస్తుంది, ఈ లోపం ఎక్స్‌ప్లాయిట్ అవుతోందో లేదో చెప్పదు. | ఇటీవలి బిల్డ్ కూడా ప్రభావితం కావచ్చు. మీ కచ్చితమైన బిల్డ్‌ను అత్యంత కొత్త బులెటిన్‌తో పోల్చి తనిఖీ చేయండి. |
| Cisco Secure Email Gateway (CVE-2026-76519) | CVSS 9.8, వర్క్‌అరౌండ్ లేదు, ఎక్స్‌ప్లాయిట్ అవుతోంది. 16.5 బ్రాంచ్‌లో AsyncOS 16.5.0-780లో ఫిక్స్ చేశారు. 14 October నాడు CISA జాబితా చేసింది. root ఉన్న దాడి చేసేవారు డివైస్‌లో సాక్ష్యాలను దాచగలరని, కాబట్టి దాని బయట ఉన్న ఫైర్‌వాల్, నెట్‌వర్క్ లాగ్‌లను తనిఖీ చేయాలని, అప్‌గ్రేడ్ చేయడానికి ముందు ఫోరెన్సిక్ డేటాను భద్రపరచాలని Cisco అడ్వైజరీ చెబుతోంది. రాజీపడిన వర్చువల్ అప్లయన్స్‌కు, పాత కాన్ఫిగరేషన్‌ను ఇంపోర్ట్ చేయకుండా ఫిక్స్ అయిన రిలీజ్‌పై కొత్త VMను డిప్లాయ్ చేయాలని చెబుతోంది. | ముందు సాక్ష్యాలు, తర్వాత రీబిల్డ్, తర్వాత కొత్త క్రెడెన్షియల్స్ అని వెండరే సిఫార్సు చేస్తోంది. |
| Palo Alto PAN-OS (CVE-2026-0322) | CVSS 8.6, “చాలా పరిమిత ఎక్స్‌ప్లాయిటేషన్” గమనించారు, తెలిసిన వర్క్‌అరౌండ్ లేదు. ఇది మేనేజ్‌మెంట్ ఇంటర్‌ఫేస్‌ను ప్రభావితం చేస్తుంది, యాక్సెస్‌ను నమ్మకమైన అంతర్గత చిరునామాలకు లేదా ఒక జంప్ బాక్స్‌కు పరిమితం చేయాలని Palo Alto సలహా ఇస్తోంది. | మేనేజ్‌మెంట్ ఇంటర్‌ఫేస్‌లను ఇంటర్నెట్‌కు దూరంగా ఉంచండి. |
మీరు అనుసరించగల ఒక పద్ధతి
మీరు నడిపే ఒక ఎడ్జ్ డివైస్ ఎక్స్‌ప్లాయిట్ అయిన లోపం అడ్వైజరీలో పేరు పొందినప్పుడు, ఈ దశలను క్రమంలో అనుసరించండి.
- ప్యాచ్ చేయండి లేదా వేరు చేయండి. ఫిక్స్ అయిన వెర్షన్‌ను వర్తింపజేయండి. ఇంకా ఫిక్స్ లేకపోతే, డివైస్‌కు యాక్సెస్‌ను పరిమితం చేసి వెండర్ మిటిగేషన్‌ను అనుసరించండి.
- ఏదైనా మార్చడానికి ముందు సాక్ష్యాలను భద్రపరచండి. వీలైతే స్నాప్‌షాట్ లేదా డిస్క్, మెమరీ కాపీ తీసుకోండి. ఫైర్‌వాల్, ప్రాక్సీ, ఏదైనా లాగ్ సర్వర్ నుంచి లాగ్‌లను సేకరించండి.
- మొదటి ఎక్స్‌ప్లాయిటేషన్ తేదీని కనుగొనండి. వెండర్, పరిశోధకుల నివేదికలను చదవండి. మీ శోధన కాలపరిమితి ఆ తేదీ నుంచి ఇప్పటివరకు.
- ఆ కాలపరిమితి వెనక్కి వెతకండి. డివైస్ బయట ఉంచిన లాగ్‌లలో చూడండి. పరిశోధకులు ప్రచురించిన ఇండికేటర్ల కోసం చూడండి. లాగ్ ఫార్వార్డింగ్‌లో ఖాళీలను హెచ్చరికగా భావించండి.
- నిర్ణయించండి: నమ్మాలా లేక రీబిల్డ్ చేయాలా. కింద ఉన్న నియమాన్ని చూడండి.
- డివైస్ శుభ్రమైన తర్వాత క్రెడెన్షియల్స్‌ను మార్చండి. డివైస్ సొంత అడ్మినిస్ట్రేటర్ ఖాతాలతో మొదలుపెట్టండి. తర్వాత అది నిల్వ చేసిన లేదా బ్రోకర్ చేసిన ప్రతిదాన్ని, అంటే API సీక్రెట్లు, సర్వీస్ ఖాతాలు, దానిలో టైప్ చేసిన ఏ పాస్‌వర్డ్‌నైనా మార్చండి.
ఎప్పుడు రీబిల్డ్ చేయాలి, ఎప్పుడు నమ్మాలి
ప్రతి అడ్వైజరీ తర్వాత ప్రతి డివైస్‌ను రీబిల్డ్ చేయడం ఆచరణాత్మకం కాదు. మేము సూచించే ఒక నియమం ఇది. ఇది మా అభిప్రాయం, BeyondTrust పై Google మార్గదర్శకత్వం ఆధారంగా రూపొందింది, ప్రచురితమైన ప్రమాణం కాదు.
డివైస్ రాజీపడిందని నిర్ధారణ అయితే శుభ్రమైన ఇమేజ్ నుంచి రీబిల్డ్ చేయండి. మీ ప్యాచ్ తేదీకి ముందే ఎక్స్‌ప్లాయిటేషన్ మొదలై, మీ డివైస్ చేరబడలేదని చూపలేకపోతే కూడా రీబిల్డ్ చేయండి. లోపలి నుంచి పరిశీలించలేని అప్లయన్స్‌లకు రెండో షరతు అత్యంత ముఖ్యం.
మూడు విషయాలు నిజమైతే ప్యాచ్ తర్వాత డివైస్‌ను సహేతుకంగా నమ్మవచ్చు. ఆ కాలపరిమితిలో అది ఇంటర్నెట్‌కు తెరిచి లేదు, లేదా సరిపోలే కార్యకలాపం లేదని చూపే స్వతంత్ర లాగ్‌లు మీ వద్ద ఉన్నాయి. ప్యాచ్ తర్వాత కూడా నిలిచే యాక్సెస్‌ను వెండర్ గానీ పరిశోధకులు గానీ నివేదించలేదు. అలాగే డివైస్ కలిగి ఉన్న క్రెడెన్షియల్స్‌ను మీరు మారుస్తారు.
మనకు ఏం తెలుసు, ఏం తెలియదు
| లేబుల్ | ప్రకటన |
|---|---|
| వాస్తవం | CISA, Ivanti లోపాన్ని (13 October), BeyondTrust లోపాన్ని (16 October) ఎక్స్‌ప్లాయిట్ అయినవిగా జాబితా చేసింది. 29 August నుంచి ఎక్స్‌ప్లాయిటేషన్‌ను BeyondTrust నిర్ధారించింది, 8 October నాడు ప్యాచ్ విడుదల చేసింది. |
| పరిశోధకుల నివేదిక | Ivanti దాడి ఎక్కువగా మెమరీలో నడిచిందని, ఇంటిగ్రిటీ చెకర్‌ను తప్పించుకుందని, లాగ్ ఎంట్రీలను తొలగించిందని Volexity చెబుతోంది. BeyondTrust దాడి చేసేవారు లాగ్‌లను తొలగించి పర్సిస్టెన్స్‌ను ఇన్‌స్టాల్ చేశారని Google చెబుతోంది. |
| మా అంచనా | ఎక్స్‌ప్లాయిటేషన్ కాలపరిమితిలో తెరిచి ఉన్న ఏ అప్లయన్స్‌నైనా, అది కాదని రుజువయ్యే వరకు చేరబడి ఉండవచ్చని భావించాలి. |
| తెలియదు | Ivanti ఇప్పుడు ప్రివిలేజ్ ఎస్కలేషన్ దశను ఫిక్స్ చేసిందా. వెండర్లు వివరించిన కేసులకు మించి ఎన్ని సంస్థలు ప్రభావితమయ్యాయి. |
ఎంత లోతుగా నేర్చుకోవాలి
తెలుసుకోండి: చాలామంది డెవలపర్లకు, మేనేజర్లకు ఆలోచన మాత్రమే అవసరం. ప్యాచ్ ఒక లోపాన్ని మూసేస్తుంది, చొరబాటును రద్దు చేయదు. ఎక్స్‌ప్లాయిట్ అయిన లోపాలను మొదటి దాడి తేదీ వరకు వెనక్కి తనిఖీ చేస్తారా అని మీ సెక్యూరిటీ బృందాన్ని అడగండి.
ఉపయోగించండి: మీరు VPNలు, గేట్‌వేలు, రిమోట్ సపోర్ట్ టూల్స్ లేదా బ్యాకప్ సర్వర్లను నడిపితే, పై పద్ధతి మీకు అవసరం. మీరు అడ్వైజరీ చదివి, మొదటి ఎక్స్‌ప్లాయిటేషన్ తేదీని కనుగొని, సాక్ష్యాలను భద్రపరచి, డివైస్ బయట ఉంచిన లాగ్‌లను తనిఖీ చేసి, రీబిల్డ్‌పై నిర్ణయం తీసుకోగలగాలి.
లోతుగా నేర్చుకోండి: మీరు ఇన్సిడెంట్ రెస్పాన్స్ లేదా ఆర్కిటెక్చర్‌కు యజమానులైతే, దీనికి తగ్గట్టు రూపకల్పన కూడా చేయాలి. ప్రతి ఎడ్జ్ డివైస్ నుంచి లాగ్‌లను దాదాపు రియల్ టైమ్‌లో బయటకు ఫార్వార్డ్ చేయండి. మేనేజ్‌మెంట్ ఇంటర్‌ఫేస్‌లను ఇంటర్నెట్‌కు దూరంగా ఉంచండి. రీబిల్డ్ వారాలు కాక గంటల్లో అయ్యేలా శుభ్రమైన ఇమేజ్‌లను, పరీక్షించిన రీస్టోర్ మార్గాలను ఉంచండి.
ప్రస్తుతానికి మీరు పట్టించుకోకపోవచ్చు
ఈ నివేదికల్లోని మాల్‌వేర్ పేర్లు, గ్రూప్ పేర్లు, ఫైల్ పాత్‌లను గుర్తుంచుకోవాల్సిన అవసరం లేదు. అవి ప్రతి ఘటనతో మారతాయి, ప్రచురించిన ఇండికేటర్లు వేట బృందానికి ఉపయోగపడతాయి కానీ సాధారణ పాఠకుడికి కాదు. నిలిచేది స్పందన యొక్క రూపం.
ఆచరణాత్మక తదుపరి అడుగు
మీరు నడిపే ఒక ఎడ్జ్ డివైస్‌ను ఎంచుకుని మూడు ప్రశ్నలకు సమాధానం ఇవ్వండి. దాని లాగ్‌లు ఎక్కడికి వెళ్తున్నాయి, అవి డివైస్‌లోని దాడి చేసేవారు చేరలేని చోట నిల్వ అవుతున్నాయా? శుభ్రమైన ఇమేజ్ నుంచి దాన్ని ఎంత వేగంగా రీబిల్డ్ చేయగలరు? అది ఏ క్రెడెన్షియల్స్‌ను కలిగి ఉంది? ఈ మూడింటికీ ఈ రోజే సమాధానం చెప్పలేకపోతే, ఆ లోటు తదుపరి ప్యాచ్ కంటే ముఖ్యం.
మరింత లోతుగా
- Volexity on the Ivanti Connect Secure zero-day chain దాడి చేసేవారి దశలు, లాగ్ ట్యాంపరింగ్, ఇండికేటర్ల కోసం.
- Ivanti’s October 2026 security update post వెండర్ ప్రకటన, దాని అడ్వైజరీ లింక్ కోసం.
- Rapid7 on Ivanti Connect Secure CVE-2026-104935 ఫిక్స్ అయిన వెర్షన్లు, CISA జాబితా కోసం.
- BeyondTrust security advisory BT26-05 మరియు its blog post వెర్షన్లు, తేదీలు, ప్యాచ్ కోసం.
- Google Threat Intelligence: ARMORY CASTLE exploits BeyondTrust చొరబాటు దశలు, రీబిల్డ్, క్రెడెన్షియల్ మార్పిడి మార్గదర్శకత్వం కోసం.
- Cisco advisory for CVE-2026-76519 రాజీ తనిఖీ, రికవరీ దశల కోసం.
- Palo Alto Networks advisory for CVE-2026-0322 ఫిక్స్ అయిన వెర్షన్లు, పాక్షిక మిటిగేషన్ల కోసం.
- Citrix bulletin CTX697191 ప్రభావితమైన, ఫిక్స్ అయిన NetScaler బిల్డ్‌ల కచ్చితమైన జాబితా కోసం.
- Help Net Security on the CISA additions Ahsay వివరాలు, KEV తేదీల కోసం.
- CISA Known Exploited Vulnerabilities catalog ప్రతి లోపం ప్రస్తుత స్థితి, గడువుల కోసం.
ఈ వ్యాసంలోని వాస్తవాలను 18, 19 October 2026న తనిఖీ చేశాం. వెండర్లు మరిన్ని ఫిక్స్‌లు, వివరాలు విడుదల చేయవచ్చు, కాబట్టి చర్య తీసుకునే ముందు పై మూలాలను చూడండి.