CISA تأمر بتصحيح ثغرة Zyxel GS1900 بعد استغلالها لسرقة البيانات

مقدمة تحليلية

في 22 سبتمبر 2026، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أمراً للوكالات الفيدرالية بتصحيح ثغرة أمنية عالية الخطورة (CVE-2026-7273) ضمن مبدلات سلسلة Zyxel GS1900. يأتي هذا التوجيه عقب تأكيد CISA الاستغلال النشط للثغرة، والتي أدت بالفعل إلى سرقة بيانات حساسة من ما يقرب من 1000 مبدل في 48 دولة. تُلزم التوجيهات الصادرة بموجب توجيه التشغيل الملزم (BOD) 26-04 الوكالات التنفيذية المدنية الفيدرالية (FCEB) بتأمين أجهزتها بحلول يوم الخميس من الأسبوع الجاري، وهو ما يشير إلى مستوى خطورة التهديد المباشر. يمثل هذا التصعيد في نشاط الاستغلال تهديداً مباشراً للشبكات الحكومية والقطاع الخاص عالمياً، مؤكداً الحاجة الملحة للتحديثات الأمنية فوراً.

التحليل التقني

تكمن الثغرة CVE-2026-7273 في فيضان المخزن المؤقت المستند إلى المكدس (stack-based buffer overflow) داخل برنامج CGI الخاص بمبدلات Zyxel GS1900. يسمح هذا العيب للمهاجمين، الذين لا يمتلكون امتيازات على الشبكة المحلية (LAN)، بتنفيذ أوامر نظام التشغيل عبر إرسال طلبات HTTP مصممة بشكل خبيث. أصدرت Zyxel تحديثات أمنية لمعالجة المشكلة في 16 يونيو 2026، موصية العملاء بترقية البرامج الثابتة. ومع ذلك، لم تُحدّث Zyxel إرشاداتها لتأكيد الاستغلال النشط، وهو ما فعلته CISA بإضافة CVE-2026-7273 إلى كتالوج الثغرات المعروفة المستغلة (KEV) في 21 سبتمبر 2026.

تفاصيل الاستغلال والأجهزة المتأثرة

بينما لم تُصدر CISA تفاصيل محددة عن الهجمات، كشفت شركة استخبارات التهديدات GreyNoise في تقريرها الصادر في 21 سبتمبر 2026 عن رصد أولى علامات الاستغلال في 17 سبتمبر 2026. وفقاً لـ GreyNoise، قام مهاجم إلكتروني مشتبه به يتحدث الصينية باختراق 996 مبدل Zyxel GS1900 Smart Managed Switches عالمياً في 48 دولة. تصف GreyNoise هذا بأنه أول حالة موثقة علناً للاستغلال الفعلي لهذه الثغرة. كانت هذه الهجمات جزءاً من حملة أوسع استهدفت أكثر من اثنتي عشرة ثغرة أخرى في مجموعة واسعة من البرامج والمنتجات التقنية.

تتضمن الموديلات المتأثرة والإصدارات المطلوب تصحيحها ما يلي:

• GS1900-8: 2.90(AAHH.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHH.2)C0.
• GS1900-8HP: 2.90(AAHI.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHI.2)C0.
• GS1900-10HP: 2.90(AAZI.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAZI.2)C0.
• GS1900-16: 2.90(AAHJ.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHJ.2)C0.
• GS1900-24: 2.90(AAHL.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHL.2)C0.
• GS1900-24E: 2.90(AAHK.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHK.2)C0.
• GS1900-24EP: 2.90(ABTO.1)C0 والإصدارات الأقدم، التصحيح 2.90(ABTO.2)C0.
• GS1900-24HPv2: 2.90(ABTP.1)C0 والإصدارات الأقدم، التصحيح 2.90(ABTP.2)C0.
• GS1900-48: 2.90(AAHN.1)C0 والإصدارات الأقدم، التصحيح 2.90(AAHN.2)C0.
• GS1900-48HPv2: 2.90(ABTQ.1)C0 والإصدارات الأقدم، التصحيح 2.90(ABTQ.2)C0.

تؤكد CISA أن هذا النوع من الثغرات يمثل «ناقل هجوم متكرر للجهات السيبرانية الخبيثة ويشكل مخاطر كبيرة على المؤسسات الفيدرالية».

السياق وتأثير السوق

تُعد أجهزة Zyxel هدفاً متكرراً للمهاجمين نظراً لانتشارها الواسع، حيث توفرها العديد من مزودي خدمة الإنترنت كجزء من عقود الخدمة الجديدة. تدّعي Zyxel أن أكثر من مليون شركة تستخدم حلولها الشبكية في 150 سوقاً عالمياً. هذا الانتشار يجعلها نقطة ضعف حرجة في البنية التحتية الرقمية العالمية. تُسجل CISA حالياً 13 ثغرة أمنية خاصة بـ Zyxel ضمن كتالوج KEV، وتؤثر هذه الثغرات على أجهزة توجيه، ومبدلات، وجدران حماية، وأجهزة تخزين شبكي (NAS) للشركة، وقد تم أو ما زالت تُستغل فعلياً.

في فبراير الماضي، أعلنت Zyxel عن عدم وجود خطط لديها لتصحيح زوج من الثغرات الأمنية (CVE-2024-40891 و CVE-2024-40891 - مذكورتين بصورة مكررة في المصدر) التي تُستغل بشكل نشط في أجهزة توجيه وصلَت إلى نهاية عمرها الافتراضي (end-of-life)، والتي كانت لا تزال معروضة للبيع عبر الإنترنت. بدلاً من التصحيح، نصحت الشركة العملاء بـ«بشدة» استبدال أجهزة التوجيه بمنتجات أحدث. هذا النهج يتناقض بشكل صارخ مع توقعات السوق الحديثة، حيث يتوجب على الشركات توفير دعم أمني مستمر أو توجيه واضح لعملائها بشأن المخاطر. الشركات الرائدة مثل Cisco أو Fortinet، على سبيل المثال، تتبنى عادةً استراتيجيات أكثر استباقية في التصحيح والإشعار بالتهديدات، حتى بالنسبة للمنتجات القديمة. إن فشل Zyxel المتكرر في تأمين منتجاتها المنتشرة، أو حتى تأكيد الاستغلال النشط لثغرة خطيرة مثل CVE-2026-7273 فوراً، يضع عملائها في موقف دفاعي مكشوف أمام هجمات سرقة البيانات.