CISA তার শোষিত তালিকায় Collabora Online ও Arista VeloCloud-এর ত্রুটি যোগ করেছে: কী প্যাচ করবেন

২৩ অক্টোবর ২০২৬ মার্কিন সাইবার সংস্থা CISA সক্রিয় শোষণের প্রমাণ পেয়ে তার Known Exploited Vulnerabilities (KEV) তালিকায় দুটি জটিল ত্রুটি যোগ করেছে। বিল্ট-ইন Collabora সার্ভারসহ Nextcloud অথবা অন-প্রিমিসেস Arista VeloCloud Orchestrator চালালে আজই দুটোই দেখুন।

এটি খবরের রিপোর্টের (The Hacker News, Security Affairs ও অন্যান্য) ওপর ভিত্তি করে। আমরা CISA-র তালিকার এন্ট্রি বা ভেন্ডরের অ্যাডভাইজরি পুরোপুরি খুলে দেখতে পারিনি, তাই নিচের সংখ্যাগুলো রিপোর্ট অনুযায়ী। কাজ করার আগে CISA-র KEV পেজ ও ভেন্ডরের অ্যাডভাইজরিতে মিলিয়ে নিন।

Collabora Online: CVE-2026-110447

• কী: Collabora Online Built-in CODE Server-এ (Nextcloud-এর সঙ্গে ব্যবহৃত richdocumentscode অ্যাপ) অপারেটিং সিস্টেম কমান্ড ইনজেকশন। লোকাল ডকুমেন্ট সার্ভার না চললে proxy.php-এর মাধ্যমে রিমোট কোড এক্সিকিউশন সম্ভব বলে রিপোর্ট।
• তীব্রতা: CVSS ৯.২ (জটিল)।
• সমাধান: একটি রিপোর্ট অনুযায়ী সেপ্টেম্বরে প্রকাশিত ভার্সন 26.4.303-এ।
• শোষণ: একটি রিপোর্ট বলছে আক্রমণকারীরা Nextcloud সার্ভারে ওয়েব শেল বসিয়ে ক্রেডেনশিয়াল স্টোর, পাসওয়ার্ড-ম্যানেজার ফাইল ও ক্রিপ্টোকারেন্সি ওয়ালেট খুঁজেছে। আমরা এটি একটিমাত্র সূত্রে দেখেছি।

কী করবেন: Collabora Online অ্যাপ (বা বিল্ট-ইন সার্ভার) 26.4.303 বা নতুনে আপডেট করুন। এখনই আপডেট না করতে পারলে বিল্ট-ইন সার্ভার বন্ধ করে আলাদাভাবে রক্ষণাবেক্ষণ করা Collabora ইনস্ট্যান্স ব্যবহার করুন, এবং অ্যাপের ডিরেক্টরিতে অপ্রত্যাশিত PHP ফাইল খুঁজুন।

Arista VeloCloud Orchestrator: CVE-2026-114625

• কী: অন-প্রিমিসেস VeloCloud Orchestrator (VCO)-এ SQL ইনজেকশন। Arista-র অ্যাডভাইজরি অনুযায়ী যেকোনো অথেনটিকেটেড ইউজার অপারেটর সুবিধা পেয়ে লোকাল সুপারইউজার অপারেটর অ্যাকাউন্টের ছদ্মবেশ নিতে পারে। রিপোর্টে আরও আছে, সর্বনিম্ন অনুমতিস্তরই যথেষ্ট।
• তীব্রতা: একটি সংস্থা CVSS ৯.৪, আরেকটি ৯.৯ লিখেছে, অর্থাৎ স্কোরিং ভার্সনভেদে ভিন্ন।
• ঝুঁকি: অন-প্রিমিসেস VCO ডিফল্টভাবে দুর্বল। Dedicated সহ হোস্টেড ভার্সনও আক্রান্ত ছিল এবং ইতিমধ্যে প্যাচ হয়েছে। রিপোর্ট অনুযায়ী কোনো কনফিগারেশন বদলে ঝুঁকি আটকানো যায় না।
• শোষণ: Arista জানে সক্রিয় শোষণ চলছে, কিন্তু কোনো আক্রমণকারীর নাম বলেনি। একটি রিপোর্ট মতে প্রায় চার মাসে এটি তৃতীয় শোষিত VCO ত্রুটি।

কী করবেন: অন-প্রিমিসেস VCO-র জন্য Arista-র সমাধান প্রয়োগ করুন (তাদের সিকিউরিটি অ্যাডভাইজরি দেখুন), কে কোথা থেকে সাইন ইন করতে পারে তা সীমিত করুন, এবং অপারেটর অ্যাকাউন্ট ও সাম্প্রতিক লগইন পর্যালোচনা করুন।

সময়সীমা

KEV তালিকা মার্কিন ফেডারেল সংস্থাগুলোকে প্রতিটি ত্রুটি ঠিক করার তারিখ দেয়। একটি রিপোর্টে এই দুটির জন্য ২৬ অক্টোবর বলা হয়েছে, যা সাধারণের চেয়ে কম, কিন্তু আমরা নিশ্চিত করতে পারিনি। সরকারি তারিখ যা-ই হোক, KEV-তে থাকা মানে বাস্তব আক্রমণে ব্যবহৃত হচ্ছে, তাই ফেডারেল সংস্থা না হলেও জরুরি ধরুন।

নিজের প্যাচিংয়ে KEV কীভাবে কাজে লাগাবেন

1. CISA-র KEV ফিডে সাবস্ক্রাইব করুন এবং প্রতি সপ্তাহে নিজের সফটওয়্যার তালিকার সঙ্গে মেলান।
2. অন্য জটিল-রেটিং ত্রুটির আগে KEV-এর ত্রুটি প্যাচ করুন। "শোষিত হচ্ছে" উচ্চ স্কোরের চেয়ে বেশি গুরুত্বপূর্ণ।
3. সম্পদ তালিকায় নেটওয়ার্ক অ্যাপ্লায়েন্স ও অ্যাড-অন অ্যাপ রাখুন, যেগুলো প্রায়ই ভুলে যাওয়া হয়।
4. ইন্টারনেটে খোলা যেকোনো কিছুর ক্ষেত্রে ধরে নিন, কয়েক দিনের মধ্যে আক্রমণকারীরা ত্রুটিটি স্ক্যান করবে।

আপডেট লগ

• ২৫ অক্টোবর ২০২৬: CISA-র ২৩ অক্টোবরের সংযোজনের খবরের রিপোর্ট থেকে প্রথম প্রকাশ। CVSS স্কোর ও সময়সীমা সূত্রভেদে আলাদা, উপরে চিহ্নিত। CISA ও ভেন্ডরের সঙ্গে মিলিয়ে নিশ্চিত হলে আপডেট করা হবে।

কভার ছবি: Dsimic, CC BY-SA 4.0, Wikimedia Commons-এর মাধ্যমে।