← ब्लॉग पर वापस जाएँ

सिक्योरिटी ब्रीफिंग, 18 अप्रैल 2026: ActiveMQ exploitation, Windows zero-days और LSASS patch fallout

आज की सिक्योरिटी ब्रीफिंग तीन साफ संकेतों पर केंद्रित है: CISA ने Apache ActiveMQ exploitation को फ़्लैग किया है, Huntress को असली intrusions में लीक हुए Windows privilege-escalation zero-days दिख रहे हैं, और Microsoft ने कुछ patched domain controllers पर LSASS crash loops की पुष्टि की है।

---

---

1. ActiveMQ patch queue से active exploitation में चला गया

CISA ने active exploitation की पुष्टि के बाद CVE-2026-34197 को KEV catalog में जोड़ा। यह bug Apache ActiveMQ Classic को प्रभावित करता है, गलत input validation से पैदा होता है, और authenticated remote code execution की अनुमति देता है। Apache ने इसे 6.2.3 और 5.19.4 में patch किया है, लेकिन exposed brokers अभी भी आसान target हैं। Shadowserver अभी भी 7,500 से अधिक internet-facing systems ट्रैक कर रहा है।

• किसी भी exposed ActiveMQ Classic node को तुरंत patch करें और running version verify करें।
• brokerConfig=xbean:http:// और VM transport activity के लिए broker logs जाँचें।
• अगर broker internet-facing और business-critical है, तो post-exploitation को possible मानें जब तक उल्टा साबित न हो।

---

2. लीक हुए Windows zero-days अब real intrusions का हिस्सा हैं

Huntress ने BlueHammer, RedSun और UnDefend techniques को wild में देखा है। BlueHammer अप्रैल में patch हुआ, लेकिन RedSun और UnDefend के लिए अभी भी full vendor fixes नहीं हैं। Observed activity में compromised SSL VPN user और उसके बाद interactive attacker behavior शामिल था। यानी ये अब सिर्फ GitHub PoCs नहीं हैं।

• हालिया VPN-originated access को privilege-escalation foothold की तरह देखें, खासकर Defender-enabled Windows hosts पर।
• यह मत मानिए कि April Patch Tuesday ने इस cluster को पूरी तरह बंद कर दिया। दो techniques अभी भी compensating controls और close monitoring मांगती हैं।
• अगर Defender update suppression और अचानक SYSTEM-level actions साथ दिखें, तो cleanup से पहले endpoint evidence सुरक्षित करें।

---

3. अप्रैल server patching में availability trap भी है

Microsoft ने पुष्टि की है कि KB5082063 कुछ Privileged Access Management environments में non-Global Catalog domain controllers पर LSASS crashes और reboot loops पैदा कर सकता है। इससे routine security rollout identity outage risk बन जाता है। अगर rollout discipline कमजोर है, तो unstable authentication तेज patching का फायदा मिटा सकती है।

• PAM-linked non-GC domain controllers पर broad rollout रोकें जब तक environment Microsoft की conditions के खिलाफ validate न हो जाए।
• Patch waves से पहले security और identity teams को साथ coordinate करें, क्योंकि जोखिम अब exploitability और authentication failure दोनों है।
• उन domain controllers को छूने से पहले rollback और support paths तैयार रखें जो startup के शुरुआती चरण में authentication संभालते हैं।

---

Security teams को आज क्या करना चाहिए

1. सबसे पहले emergency ActiveMQ triage खत्म करें, खासकर exposed brokers और पुराने Classic deployments पर।
2. जहाँ recent VPN access या admin escalation suspicious लगे वहाँ BlueHammer, RedSun और UnDefend artifacts खोजें।
3. KB5082063 rollout बढ़ाने से पहले validate करें कि कोई PAM domain controllers scope में हैं या नहीं।
4. Leadership को एक साफ अपडेट भेजें जो exploit pressure और patch-instability risk को अलग-अलग बताए।

---

Bottom line: आज mature defense का मतलब है एक साथ तीन speeds पर काम करना: exposed broker patch करना, Windows foothold hunt करना, और उस rollout को धीमा करना जो identity को offline कर सकता है।