CISA تضيف 6 ثغرات مستغلة لـ KEV: NetScaler وSQL Server مستهدفة

مقدمة تحليلية

في 27 أغسطس 2026، أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ست ثغرات أمنية جديدة ضمن كتالوج Known Exploited Vulnerabilities (KEV) الخاص بها. هذه الإضافة تأتي استجابةً لأدلة دامغة على الاستغلال النشط لتلك العيوب، بما في ذلك ثغرة حرجة ذات خطورة عالية تؤثر على منتجات Citrix NetScaler ADC وNetScaler Gateway. يتوجب على الوكالات الفيدرالية المدنية التنفيذية (FCEB) تطبيق التحديثات الأمنية لثغرتي CVE-2019-1068 وCVE-2026-8452 بحلول 29 أغسطس 2026، بينما تمتد المهلة للثغرات المتبقية حتى 9 سبتمبر 2026. هذا الإجراء يسلط الضوء على استمرارية استغلال عيوب برمجية معروفة، بعضها قديم نسبياً، مما يعكس فشلاً متواصلاً في ممارسات الأمن الأساسية داخل العديد من المنظمات.

التحليل التقني

تتوزع الثغرات الست المضافة إلى كتالوج KEV لتشمل نطاقاً واسعاً من الأنظمة، مما يبرز عدم وجود نمط محدد في استهداف المنصات. تفاصيل الثغرات كالتالي:

• CVE-2019-1068: ثغرة تنفيذ تعليمات برمجية عن بعد (RCE) في Microsoft SQL Server، تسمح للمهاجمين بتنفيذ تعليمات برمجية ضمن سياق حساب خدمة SQL Server Database Engine. لا توجد معلومات عامة حالياً حول كيفية استغلال هذه الثغرة ميدانياً.
• CVE-2026-8452: ثغرة تقييد غير سليم للعمليات ضمن حدود مخزن مؤقت للذاكرة (improper restriction of operations within the bounds of a memory buffer) في Citrix NetScaler ADC وNetScaler Gateway، قد تؤدي إلى هجمات حرمان من الخدمة (Denial-of-Service). أفادت شركتا Defused Cyber وPrevidian (المعروفة سابقاً باسم KEVIntel) عن استغلال نشط لهذه الثغرة.

  تشير بيانات القياس عن بعد من Previdian إلى رصد 36 محاولة استغلال خلال الأيام الـ12 الماضية، مصدرها 12 عنوان IP فريداً من سويسرا، ألمانيا، هونغ كونغ، اليابان، هولندا، روسيا، سنغافورة، تركيا، الولايات المتحدة، وفيتنام. صرحت Previdian أن المهاجمين استخدموا web shells بأسماء 'x.php' و'z.php' وقاموا بتشغيل أوامر استكشاف مثل 'id' و'echo'.

• CVE-2022-0995: ثغرة كتابة خارج حدود الذاكرة (out-of-bounds memory write) في Linux Kernel، تسمح لمستخدم محلي باكتساب صلاحيات مميزة أو التسبب في حرمان من الخدمة على النظام.
• CVE-2015-5287: ثغرة تصعيد امتيازات (privilege escalation) في Red Hat Automatic Bug Reporting Tool (ABRT)، تمكّن المستخدمين المحليين ذوي صلاحيات معينة من اكتساب امتيازات عبر هجوم وصلة رمزية (symlink attack) على ملف ذي اسم متوقع.
• CVE-2015-3246: ثغرة حالة سباق (race condition) في Red Hat libuser، قد تسمح لمستخدم محلي موثوق بتلف ملف /etc/passwd مما يؤدي إلى حرمان من الخدمة أو تصعيد امتيازات.
• CVE-2021-23758: ثغرة إلغاء تسلسل بيانات غير موثوق بها (deserialization of untrusted data) في Ajax.NET Professional (AjaxPro)، قد تسمح بتنفيذ تعليمات برمجية عن بعد عبر فئات.NET عشوائية.
تأتي إضافة CVE-2022-0995 وCVE-2015-5287 وCVE-2015-3246 وCVE-2021-23758 بعد تقرير من Cisco Talos، الذي فصّل أنشطة مجموعة الجريمة السيبرانية الصينية UAT-10147. تستهدف هذه المجموعة خوادم الويب التي تعمل بنظامي Windows وLinux عالمياً في قطاعات التعليم، الإعلام، التكنولوجيا، والألعاب، وتستخدم الذكاء الاصطناعي لتوسيع نطاق جهود الاستغلال.

السياق وتأثير السوق

إن استمرارية إضافة CISA لثغرات مستغلة إلى كتالوج KEV، بما في ذلك عيوب تعود إلى عام 2015، تكشف عن نمط مقلق من عدم معالجة المشكلات الأمنية الأساسية. بالتزامن مع إضافات KEV، أصدرت CISA مراجعة جديدة للثغرات الأمنية، تتعمق في الأسباب الجذرية للبرامج غير الآمنة والخطوات العملية التي يمكن للمنظمات اتخاذها لمنع الاستغلال. يكشف تحليل الوكالة لسجلات CVE من عامي 2024 و2025 أن نقاط ضعف الحقن (injection weaknesses) كانت الفئة الأكثر هيمنة، حيث مثلت 7,701 CVE في عام 2024 و21,019 CVE في عام 2025. هذه الأرقام تظهر ارتفاعاً حاداً ومقلقاً في حجم هذه المشكلة الأساسية.

تؤكد CISA أن المهاجمين يستغلون ثغرات برمجية بسيطة ومعروفة تستمر في الوجود ضمن الأصول المكشوفة، مشيرة إلى أن الذكاء الاصطناعي يتم استخدامه لأتمتة جهود الاستغلال. في مراجعتها، ذكرت CISA أن