Cisco ISE: ثغرة حرجة (CVSS 10.0) تستغل بنشاط وتتطلب معالجة فورية
حذرت Cisco من استغلال نشط لثغرة أمنية حرجة (CVE-2026-76460) بدرجة CVSS 10.0 في منتجات ISE، مما يسمح بتجاوز المصادقة وتنفيذ الأوامر بصلاحيات الجذر.
مقدمة تحليلية
أصدرت Cisco تحذيراً عاجلاً بشأن ثغرة أمنية جديدة في منتجات Identity Services Engine (ISE) وISE Passive Identity Connector (ISE-PIC)، تحمل المعرف CVE-2026-76460 ودرجة خطورة CVSS قصوى تبلغ 10.0. هذه الثغرة، التي تم الكشف عنها في 17 سبتمبر 2026، تستغل حالياً في هجمات نشطة، مما يسمح لمهاجم غير موثق بالوصول عن بُعد لتجاوز المصادقة. أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) خطورة الموقف بإضافتها CVE-2026-76460 إلى قائمة الثغرات المعروفة والمستغلة (KEV) في 16 سبتمبر 2026، وفرضت على الوكالات التنفيذية المدنية الفيدرالية (FCEB) تطبيق الإصلاحات بحلول 19 سبتمبر 2026. هذه السلسلة من الأحداث تؤكد على فشل أمني حاد في منتجات البنية التحتية الأساسية التي توفرها Cisco.
التحليل التقني
تكمن الثغرة CVE-2026-76460 في تحكم المصادقة غير الكافي على نقطة نهاية API ضمن Cisco ISE وISE-PIC. يستغل المهاجم هذه النقطة عن طريق إرسال طلب مُصاغ خصيصاً لتجاوز واجهة الإدارة المستندة إلى الويب، مما يمنح وصولاً غير مصرح به للجهاز المستهدف. أكدت Cisco أن الاستغلال الناجح يؤدي إلى تنفيذ الأوامر بصلاحيات المستخدم الجذر (root privileges). هذا المستوى من الوصول يسمح للمهاجمين بإزالة أو إخفاء أي مؤشرات على الاختراق (IoCs)، مما يجعل الكشف والتصدي أكثر صعوبة.
تتأثر جميع إصدارات Cisco ISE وISE-PIC بغض النظر عن التهيئة، ولا توجد حلول بديلة (workarounds) متاحة. الحل الوحيد هو الترقية إلى الإصدارات المصححة:
- الإصدار 3.1: تم الإصلاح في 3.1 Patch 12
- الإصدار 3.2: تم الإصلاح في 3.2 Patch 11
- الإصدار 3.3: تم الإصلاح في 3.3 Patch 12
- الإصدار 3.4: تم الإصلاح في 3.4 Patch 7
- الإصدار 3.51: تم الإصلاح في 3.5 Patch 4
للكشف عن النشاط الخبيث، توصي Cisco بمراجعة ملف `access.log` والبحث عن أسماء مستخدمين مشبوهة، مع تطبيق الأمر `admin#show logging application ise-kong/access.log | include dummyuser`. أي نتيجة لهذا الأمر تشير على الأرجح إلى نشاط خبيث، وتستلزم إعادة تهيئة العقد المتأثرة والاستعادة من نسخة احتياطية للتكوين. كمصدر وحيد للتخفيف، يمكن للعملاء استخدام قوائم التحكم بالوصول للبنية التحتية (iACLs) لتقييد حركة مرور إدارة مستوى التحكم إلى الجهاز المتأثر فقط.
تهديدات Cisco المتعددة
لم يأتِ الكشف عن CVE-2026-76460 بمعزل عن غيره. قبل أيام قليلة فقط، أعلنت Cisco عن استغلال نشط لثغرة حرجة أخرى، CVE-2026-76461 (CVSS 9.8)، تؤثر على AsyncOS Software لـ Cisco Secure Email Gateway. بالإضافة إلى ذلك، طرحت الشركة إصلاحات لعدد 77 ثغرة أمنية جديدة في منتجاتها يوم الأربعاء، 41 منها تؤثر على ISE و28 على مجموعة منتجات Secure Firewall. تشمل هذه الثغرات الأخرى:
- ISE (تنفيذ تعليمات برمجية عن بعد RCE مصادق): CVE-2026-20176 (9.9)، CVE-2026-20211 (9.1)، CVE-2026-20307 (9.1). تتطلب بيانات اعتماد إدارية صالحة.
- ISE وISE-PIC (متعددة: تجاوز مصادقة API، RCE، حقن SQL، حقن XXE): CVE-2026-76423 (10.0)، CVE-2026-76424، CVE-2026-76425، CVE-2026-76426، CVE-2026-76427، CVE-2026-76428.
- Cisco Nexus Dashboard (حقن أوامر، تجاوز مصادقة/ترخيص، كشف معلومات): CVE-2026-20322 (9.9)، CVE-2026-20325 (9.9)، CVE-2026-20326 (9.8).
- Cisco Secure Firewall ASA/FTD/FMC (متعددة): CVE-2026-20329 (9.9)، CVE-2026-20330 (9.9)، CVE-2026-20331 (9.6)، CVE-2026-20332 (9.0).
- Cisco Secure Firewall Management Center (FMC) (RCE كجذر): CVE-2026-20324 (9.9) عبر بروتوكول sftunnel، وCVE-2026-20242 (9.8) عبر ميزة External Database Access.
- Cisco Secure Email Gateway (اجتياز مسار، تجاوز مصادقة/ترخيص، حقن أوامر): CVE-2026-20353 (9.8)، CVE-2026-76440 (9.8)، CVE-2026-76441 (9.8).
السياق وتأثير السوق
يكشف التواتر والكثافة في إعلانات Cisco الأمنية عن نمط مقلق. ففي غضون أيام، تُعلن الشركة عن ثغرتين حرِجتين تُستغلان فعلياً في الهجمات (CVE-2026-76460 وCVE-2026-76461)، مع درجات CVSS تبلغ 10.0 و9.8 على التوالي. هذا، بالإضافة إلى 77 ثغرة جديدة أخرى، منها 41 في ISE و28 في Secure Firewall، يضع ضغطاً هائلاً على العملاء. بينما تستثمر شركات مثل Palo Alto Networks وFortinet في تحسين اكتشاف التهديدات والاستجابة السريعة، تبدو Cisco غارقة في موجة من العيوب الأساسية التي تتطلب إصلاحات شاملة ومنتظمة.
إن إضافة CISA لـ CVE-2026-76460 إلى كتالوج KEV وتحديد موعد نهائي صارم للوكالات الفيدرالية (19 سبتمبر 2026) يسلط الضوء على الأهمية الوطنية لهذه الثغرة، ويشير إلى أن فشل Cisco في تأمين مكونات البنية التحتية الحيوية يؤثر مباشرة على الأمن القومي. الشركات التي تعتمد على Cisco ISE لتوفير خدمات المصادقة والترخيص تُعرض الآن للخطر بشكل مباشر وغير مصدق، مما قد يؤدي إلى فقدان الثقة وتحول محتمل نحو حلول بديلة تقدم مستوى أعلى من المرونة الأمنية. كانت Cisco تُعتبر معياراً في أمن الشبكات، ولكن هذه الثغرات المتكررة وعالية الخطورة تحوّل أجهزتها من أدوات حماية إلى نقاط دخول محتملة، مما يضر بسمعتها ومكانتها التنافسية في سوق الأمن السيبراني الذي تزداد فيه المخاطر تعقيداً.
رؤية Glitch4Techs
إن سلسلة الثغرات الأمنية المتتالية في منتجات Cisco، خصوصاً استغلال CVE-2026-76460 وCVE-2026-76461 بنشاط، تمثل فشلاً واضحاً في منهجية تطوير وأمن منتجات البنية التحتية الأساسية. إن حصول المهاجمين على صلاحيات الجذر (root privileges) عبر ثغرة CVE-2026-76460، بالإضافة إلى عدم وجود حلول بديلة (workarounds)، يجعل هذه الثغرة كارثة أمنية كاملة تتجاوز مجرد 'تحذير'. يتوجب على العملاء التعامل مع هذه الثغرات ليس كمجرد تحديثات روتينية، بل كعمليات إعادة بناء عاجلة للبنية التحتية المتضررة. إن الحقيقة بأن المهاجمين يمكنهم إخفاء مؤشرات الاختراق بعد الاستغلال تجعل عملية الكشف والتعافي مكلفة ومعقدة للغاية، مما يدل على أن Cisco لم تفشل فقط في تأمين منتجاتها، بل أيضاً في توفير آليات دفاعية كافية لعملائها في حال وقوع الهجوم.
هذه ليست مسألة 'تحسينات' أمنية، بل هي تداعيات مباشرة لنقاط ضعف معمقة تتيح وصولاً كاملاً وغير مصرح به للأنظمة الحيوية. هذا الوضع يقلل من قيمة استثمارات المؤسسات في منتجات Cisco الأمنية التي لم تستطع حماية نفسها.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
