Cisco ISE: ثغرة CVE-2026-76460 تسمح بتجاوز المصادقة وتنفيذ الأوامر

مقدمة تحليلية

Cisco Identity Services Engine (ISE) تواجه ثغرة حرجة (CVE-2026-76460) بدرجة خطورة CVSS v3.1 10.0، مما يسمح للمهاجمين بتجاوز المصادقة عن بعد وتنفيذ أوامر بصلاحيات الجذر. أعلنت Cisco تأكيد الاستغلال النشط لهذه الثغرة في الميدان، مما دفع وكالة CISA لإضافتها إلى كتالوج الثغرات المستغلة المعروفة (KEV catalog) في 16 سبتمبر 2026. هذا التطور لا يشكل مجرد تحدٍ أمني، بل يمثل انهياراً مباشراً لطبقة أساسية من التحكم في الوصول داخل الشبكات المؤسسية. الثغرة تؤثر على جميع إصدارات Cisco ISE و ISE Passive Identity Connector (ISE-PIC) المعرضة للخطر، بغض النظر عن الميزات الممكنة، ولا يوجد حل بديل لها.

الإصدارات المصححة حالياً هي 3.1 Patch 12، و 3.2 Patch 11، و 3.3 Patch 12، و 3.4 Patch 7، و 3.5 Patch 4. الضرر المحتمل يتجاوز مجرد تعطيل الخدمة ليشمل تعديل إعدادات التحكم في الوصول إلى الشبكة والبنية التحتية للمصادقة وتسريب الأسرار المخزنة، مما يقوض الثقة الكلية في النظام.

التحليل التقني

آلية الاستغلال ووصول المهاجم

تنشأ الثغرة (CVE-2026-76460) من عيب في ضوابط المصادقة ضمن واجهات برمجة التطبيقات (APIs) الخاصة بـ Cisco ISE و ISE-PIC. تسمح هذه الثغرة للمهاجمين غير المصادقين عن بعد بتجاوز مصادقة واجهة إدارة الويب عبر إرسال طلبات HTTP مصممة خصيصاً. بمجرد تجاوز المصادقة، يمكن للمهاجم استغلال وظائف إدارية داخلية لتنفيذ أوامر بصلاحيات الجذر على الجهاز المستهدف. يؤكد هذا المسار المباشر أن مستوى الخطورة 10.0 ليس مجرد تقدير نظري.

يمكن للمهاجم أن يكون في أي موقع يسمح له بإرسال حزم عبر الشبكة إلى واجهة برمجة التطبيقات الإدارية المعرضة للخطر. يشمل ذلك البيئات المكشوفة مباشرة للإنترنت، أو المهاجمين داخل الشبكات الداخلية، أو عبر شبكات VPN، أو قطاعات إدارة العمليات. هذه المرونة في موقع المهاجم تزيد من نطاق تعرض الأنظمة وتحد من فعالية الدفاعات التقليدية التي تعتمد على العزل الشبكي الكامل. لحجب آثار الاختراق، قد يقوم المهاجم بمسح ملفات السجل المحلية داخل ISE.

هذا الإجراء يعقد عملية تحديد الاختراق والتحقيق فيه بشكل كبير، مما يتطلب من المسؤولين مقارنة سجلات ISE الداخلية بسجلات أجهزة الشبكة الخارجية، مثل جدران الحماية (firewalls) و NetFlow، لإنشاء سجل زمني كامل للأحداث. الإصدارات المتأثرة غير قابلة للتصحيح بأي حلول بديلة، وتبقى الثغرة قائمة بغض النظر عن الميزات الاختيارية الممكنة. تتضمن الإصدارات التي تعالج هذه الثغرة:

• Cisco ISE 3.1 Patch 12
• Cisco ISE 3.2 Patch 11
• Cisco ISE 3.3 Patch 12
• Cisco ISE 3.4 Patch 7
• Cisco ISE 3.5 Patch 4

تؤدي هذه الثغرة إلى تجاوز كامل للمصادقة على واجهة إدارة الويب، وتنفيذ أوامر عشوائية بصلاحيات الجذر على نظام التشغيل الأساسي، وتعديل إعدادات التحكم في الوصول إلى الشبكة والمصادقة، وتسريب الأسرار المخزنة، مما ينتج عنه فقدان الثقة الكلية في النظام.

السياق وتأثير السوق

يعد Cisco ISE بنية تحتية أساسية للتحكم في الوصول والمصادقة داخل الشبكات. إن استغلال ثغرة بهذا الحجم لا يؤثر فقط على الجهاز نفسه، بل ينسف الثقة في كامل منظومة التحكم في الوصول للشبكة التي يديرها ISE. على عكس ثغرات خوادم الويب التقليدية التي قد تؤدي إلى تشويه مواقع أو تسريب بيانات جزئية، يتيح هذا الاستغلال تحكماً كاملاً في السياسات الأمنية للشبكة، بما في ذلك قواعد الوصول للمستخدمين والأجهزة. في سوق حلول التحكم في الوصول للشبكة (NAC)، يتنافس Cisco ISE مع منتجات مثل Aruba ClearPass و Fortinet FortiNAC.

تعتمد هذه الأنظمة جميعها على فرض سياسات أمنية صارمة لتحديد من يمكنه الوصول إلى موارد الشبكة وماذا يمكنه فعله. عندما يتم اختراق ISE، فإن قدرة المؤسسة على فرض هذه السياسات تتلاشى. بينما تركز حلول مثل FortiNAC على الأتمتة والاستجابة للتهديدات ضمن بيئة Fortinet المتكاملة، وتوفر ClearPass من Aruba مرونة واسعة في المصادقة والتفويض عبر البائعين، فإن جميع هذه الأنظمة تواجه تحدياً جوهرياً: إذا تعرض القلب النابض للمصادقة للخطر، تتهاوى جميع الدفاعات المحيطة. قبل هذه الثغرة، كانت المؤسسات تعتمد على ISE كحجر زاوية في استراتيجيات الأمن، بما في ذلك تطبيق مبادئ "الصفر ثقة" (Zero Trust)، حيث لا يُمنح أي جهاز أو مستخدم ثقة تلقائية.

لكن مع CVE-2026-76460، يصبح ISE نفسه نقطة ضعف حرجة، ويتحول من محصن إلى مصدر محتمل للخرق الشامل. هذا يعني أن نموذج الثقة الذي تبنيه المؤسسات قد تم تقويضه، ويتطلب إعادة تقييم جذرية للبنية التحتية الأمنية، وتناوب شامل لجميع الأسرار والشهادات المتصلة بالنظام. فقدان التحكم في ISE يعني فقدان التحكم في الوصول إلى الشبكة بالكامل.