تجاوز مصادقة بأقصى شدة يصيب سلطة الهوية نفسها — Cisco ISE CVE-2026-76460 والنمط المتكرر لاختراق جذر أجهزة الحدود
تجاوز المصادقة في Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) قيد استغلال نشط. أضافته CISA إلى فهرس KEV في 16 سبتمبر بموعد نهائي فيدرالي للمعالجة في 19 سبتمبر؛ لا يوجد حل التفافي وiACLs تخفيف فقط. ندرس نمط اختراق جذر أجهزة الحدود — الجاري بالتوازي مع ثغرة اليوم الصفري في Secure Email Gateway (CVE-2026-76461) المُفصح عنها في 14 سبتمبر — وما يعنيه أن تتوقف سجلات الجهاز المخترَق نفسه عن كونها مصدرًا أوليًا.
تُرجمت هذه المقالة آليًا.
في 16 سبتمبر 2026، أفصحت Cisco عن CVE-2026-76460، وهي ثغرة تجاوز مصادقة في Cisco Identity Services Engine (ISE) وISE Passive Identity Connector، وتحمل الدرجة القصوى CVSS 3.1 وقدرها 10.0. السبب الجذري هو ضبط مصادقة غير كافٍ على نقطة نهاية لواجهة برمجة: يستطيع مهاجم بعيد غير مصادَق يرسل طلبًا مصمَّمًا أن يتجاوز مصادقة واجهة الإدارة على الويب ويحصل على وصول غير مصرَّح به إلى الجهاز. تقول Cisco إنها «على علم باستغلال نشط» لكنها لم تنشر من يقف خلفه أو ماذا فعل الدخلاء بعد ذلك. جميع الإصدارات من 3.1 إلى 3.5 متأثرة بغض النظر عن التهيئة؛ وتصدر الإصلاحات بوصفها 3.1 Patch 12، و3.2 Patch 11، و3.3 Patch 12، و3.4 Patch 7، و3.5 Patch 4. الإصدار 3.0، الذي تجاوز بالفعل End of Software Maintenance، ليس له مسار تصحيح — والانتقال هو الطريق الوحيد (إرشاد Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
تصرّح Cisco بوضوح بأنه «لا توجد حلول التفافية تعالج هذه الثغرة»، وتعرض قوائم التحكم في الوصول على البنية (iACLs) بوصفها تخفيفًا مؤقتًا لحصر حركة مستويَي الإدارة والتحكم في المصادر المطلوبة فقط — وهو تمييز يهم، لأن iACLs تقلّل التعرّض من دون إصلاح نقطة النهاية المعرّضة. وفي الكشف، تحذّر Cisco من أن الاستغلال الناجح قد يُنتج تنفيذ أوامر بمستوى الجذر، ما يعني أن المهاجم يستطيع إزالة الأدلة ومؤشرات الاختراق أو إخفاءها. وتوصي بمراجعة access.log على كل عقدة في نشر موزَّع — `show logging application ise-kong/access.log | include dummyuser` لإظهار أسماء مستخدمين غير متوقعة — وبإعادة تصوير العقد والاستعادة من نسخة احتياطية للتهيئة إذا ظهرت مدخلات خبيثة. أضافت CISA الثغرة إلى فهرس KEV في 16 سبتمبر، وحدّدت 19 سبتمبر موعدًا نهائيًا للمعالجة للوكالات الفيدرالية (حسب The Hacker News وCISA).
تحليل (منفصل عن الوقائع): هذه ثاني حادثة «من مستوى الإدارة العلني إلى الجذر» تجريها Cisco بالتوازي هذا الأسبوع. حيث تصل ثغرة اليوم الصفري في Secure Email Gateway CVE-2026-76461 (أُفصح عنها في 14 سبتمبر) إلى الجذر عبر حقن SQL في رمز التحليل، يصل CVE-2026-76460 عبر واجهة إدارة جرى تجاوز مصادقتها — بابان مختلفان، والوجهة نفسها: اختراق كامل لجهاز حدودي. يجلس ISE في مركز قرارات الوصول إلى شبكة المؤسسة، ويجمع بيانات الهوية والسياسة والتحكم في الوصول؛ وحين يسقط إلى الجذر، تُلتقط سلسلة الثقة كلها خلفه معه. حسب إحصاء The CyberSec Guru، تمتد دفعة Cisco لسبتمبر على 77 ثغرة CVE (41 تمس ISE، و28 تمس Secure Firewall)، بما فيها تجاوز مصادقة منفصل لواجهة REST في ISE بدرجة CVSS 10.0، هو CVE-2026-76423. والدفعة التي تخلط عناصر «تُستغل بنشاط» وعناصر «لا دليل على استغلال» هي في ذاتها مشكلة فرز.
الدلالات الدفاعية: (1) إذا كنت تشغّل ISE/ISE-PIC، فتطبيق التصحيح المطابق هو تغيير هذا الأسبوع الأعلى أولوية؛ وتثبيتات 3.0 المتبقية دَين تقني منفصل بلا مسار إصلاح. (2) يستحق تقييد iACL لمستوى الإدارة أن يُنجز فورًا، لكن سجّله بوصفه تخفيفًا لا معالجة. (3) لا تجعل الكشف يعتمد على سجلات الجهاز نفسه وحدها — اقرن مراجعة `dummyuser` بتاريخ الجدار الناري الخارجي وNetFlow لحركة المرور من ISE وإليه. (4) إذا كان اختراق الجذر مطروحًا، يصبح التحقق من سلامة تهيئة الجهاز وسياسته مقابل النسخ الاحتياطية خطوة تعافٍ إلزامية. تستند الوقائع هنا إلى إرشاد Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5)، وفهرس KEV لدى CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وThe Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html)، وThe CyberSec Guru لأرقام حجم الدفعة (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). يُبقى التحليل منفصلًا عن التغطية.