इवांटी कनेक्ट सिक्योर की कमियों पर साइबर सुरक्षा एजेंसी की चेतावनी

मुख्य बिंदु और हालिया अपडेट

यूएस साइबर सिक्योरिटी एंड इंफ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने शुक्रवार को इवांटी कनेक्ट सिक्योर (ICS) को प्रभावित करने वाली दो सुरक्षा कमियों को अपने नोन एक्सप्लॉइटेड वल्नरबिलिटीज (KEV) कैटलॉग में शामिल किया है। रिपोर्ट के अनुसार, इन कमियों का इस्तेमाल वास्तविक दुनिया में सक्रिय रूप से किया जा रहा था।

तकनीकी विवरण और कमियां

प्रकाशित जानकारी के अनुसार, इस मामले में शामिल मुख्य कमजोरियां निम्नलिखित हैं:

• CVE-2026-111357 (CVSS स्कोर: 8.8): यह एक महत्वपूर्ण फ़ंक्शन के लिए प्रमाणीकरण की कमी से जुड़ी कमजोरी है, जो स्थानीय स्तर पर प्रमाणित हमलावर को विशेषाधिकार बढ़ाने की अनुमति दे सकती है।
• CVE-2026-118527 (CVSS स्कोर: 4.3): यह अनुमानित संख्या या पहचानकर्ता उत्पन्न करने से जुड़ी कमजोरी है, जिसके तहत दूरस्थ प्रमाणित हमलावर डिस्क पर ज्ञात स्थान पर फाइलें अपलोड कर सकते हैं।

हमला करने का तरीका और प्रभाव

रिपोर्ट के मुताबिक, इन सुरक्षा बगों को एक एक्सप्लॉइट चेन का हिस्सा बताया गया है, जिसे सबसे पहले वोलेक्सिटी (Volexity) द्वारा प्रलेखित किया गया था। इस चेन में प्रमाणीकरण बायपास (CVE-2026-104935, CVSS स्कोर: 8.6) का भी उपयोग किया गया था, जिसे UTA0576 नामक एक अज्ञात थ्रेट एक्टर द्वारा हथियारबंद किया गया था।

विश्लेषण के अनुसार, इस एक्सप्लॉइट चेन ने प्रमाणीकरण बायपास, रिमोट कोड निष्पादन और विशेषाधिकार वृद्धि को जोड़कर बिना प्रमाणीकरण के रूट-स्तरीय कोड निष्पादन हासिल किया। अन्य हमलों के विपरीत, UTA0576 को क्रेडेंशियल निकालने, एक्टिव डायरेक्टरी मेटाडेटा एकत्र करने, होस्ट रिकॉनेसंस करने और व्यवस्थापक पासवर्ड तथा बिटलॉकर रिकवरी की तलाश करने के लिए इन कमियों का लाभ उठाते हुए देखा गया है।

कंपनी की प्रतिक्रिया और समाधान

इवांटी ने बताया कि वह विशेषाधिकार वृद्धि की कमजोरी के लिए फिक्स विकसित करने की प्रक्रिया में थी। कंपनी ने स्पष्ट किया कि नवीनतम रिलीज़ में उन सभी कमियों का समाधान कर दिया गया है जिनका श्रृंखला में उपयोग किया गया था।

व्यावहारिक निहितार्थ और सत्यापन

फेडरल सिविलियन एग्जीक्यूटिव ब्रांच (FCEB) की एजेंसियों को CVE-2026-111357 के लिए 2 नवंबर 2026 तक और CVE-2026-118527 के लिए 13 नवंबर 2026 तक आवश्यक फिक्स लागू करने का निर्देश दिया गया है। प्रभावित उपयोगकर्ताओं को सलाह दी जाती है कि वे आधिकारिक घोषणाओं और CISA या निर्माता के पोर्टल के माध्यम से सटीक पैच विवरण सत्यापित करें।