تجاوز مصادقة بأقصى شدة بيصيب سلطة الهوية نفسها — Cisco ISE CVE-2026-76460 والنمط المتكرر لاختراق جذر أجهزة الحدود
تجاوز المصادقة في Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) بيتستغل بنشاط. CISA ضافته لفهرس KEV يوم 16 سبتمبر بموعد نهائي فيدرالي للمعالجة يوم 19 سبتمبر؛ مفيش حل التفافي وiACLs تخفيف بس. بنراجع نمط اختراق جذر أجهزة الحدود — اللي ماشي بالتوازي مع ثغرة الزيرو داي في Secure Email Gateway (CVE-2026-76461) اللي اتعلن عنها يوم 14 سبتمبر — ومعنى إن سجلات الجهاز المخترق نفسه تبطل تبقى مصدر أولي.
المقالة دي اتترجمت بالآلة.
يوم 16 سبتمبر 2026، Cisco كشفت CVE-2026-76460، ودي ثغرة تجاوز مصادقة في Cisco Identity Services Engine (ISE) وISE Passive Identity Connector، وشايلة الدرجة القصوى CVSS 3.1 وقيمتها 10.0. السبب الجذري ضبط مصادقة مش كافي على نقطة نهاية لواجهة برمجة: مهاجم بعيد مش مصادَق يبعت طلب مصمَّم يقدر يتجاوز مصادقة واجهة الإدارة على الويب وياخد وصول مش مصرَّح بيه للجهاز. Cisco بتقول إنها «عارفة باستغلال نشط» بس منشّرتش مين وراه ولا الدخلاء عملوا إيه بعد كده. كل الإصدارات من 3.1 لـ 3.5 متأثرة مهما كانت التهيئة؛ والإصلاحات طالعة كـ 3.1 Patch 12، و3.2 Patch 11، و3.3 Patch 12، و3.4 Patch 7، و3.5 Patch 4. الإصدار 3.0، اللي عدّى خلاص End of Software Maintenance، معندوش مسار تصحيح — والانتقال هو الطريق الوحيد (إرشاد Cisco cisco-sa-ISE-ABP-VNSW7Tn5).
Cisco بتقول بوضوح إنه «مفيش حلول التفافية بتعالج الثغرة دي»، وبتقدّم قوائم التحكم في الوصول على البنية (iACLs) كتخفيف مؤقت عشان تحصر حركة مستويَي الإدارة والتحكم على المصادر المطلوبة بس — وده فرق يهم، عشان iACLs بتقلّل التعرّض من غير ما تصلّح نقطة النهاية المعرّضة. وفي الكشف، Cisco بتحذّر إن الاستغلال الناجح ممكن يطلّع تنفيذ أوامر بمستوى الجذر، يعني المهاجم يقدر يشيل الأدلة ومؤشرات الاختراق أو يخبّيها. وبتوصي بمراجعة access.log على كل عقدة في نشر موزَّع — `show logging application ise-kong/access.log | include dummyuser` عشان يطلّع أسماء مستخدمين مش متوقعة — وبإعادة تصوير العقد والرجوع من نسخة احتياطية للتهيئة لو ظهرت مدخلات خبيثة. CISA ضافت الثغرة لفهرس KEV يوم 16 سبتمبر، وحدّدت 19 سبتمبر موعد نهائي للمعالجة للوكالات الفيدرالية (حسب The Hacker News وCISA).
تحليل (منفصل عن الوقائع): دي تاني حادثة «من مستوى الإدارة العلني للجذر» Cisco ماشياها بالتوازي الأسبوع ده. ثغرة الزيرو داي في Secure Email Gateway CVE-2026-76461 (اتعلن عنها يوم 14 سبتمبر) بتوصل للجذر عن طريق حقن SQL في كود التحليل، وCVE-2026-76460 بيوصل عن طريق واجهة إدارة مصادقتها اتتجاوزت — بابين مختلفين، ونفس الوجهة: اختراق كامل لجهاز حدودي. ISE قاعد في وسط قرارات الوصول لشبكة المؤسسة، وبيجمع بيانات الهوية والسياسة والتحكم في الوصول؛ ولما يقع للجذر، سلسلة الثقة اللي وراه كلها بتتلتقط معاه. حسب إحصاء The CyberSec Guru، دفعة Cisco لسبتمبر ممتدة على 77 ثغرة CVE (41 بتلمس ISE، و28 بتلمس Secure Firewall)، ومنها تجاوز مصادقة لوحده لواجهة REST في ISE بدرجة CVSS 10.0، وهو CVE-2026-76423. والدفعة اللي بتخلط عناصر «بتتستغل بنشاط» وعناصر «مفيش دليل على استغلال» هي نفسها مشكلة فرز.
الدلالات الدفاعية: (1) لو بتشغّل ISE/ISE-PIC، تطبيق التصحيح المطابق هو تغيير الأسبوع ده الأعلى أولوية؛ وتثبيتات 3.0 اللي لسه موجودة دَين تقني لوحده من غير مسار إصلاح. (2) تقييد iACL لمستوى الإدارة يستاهل يتعمل دلوقتي، بس سجّله كتخفيف مش معالجة. (3) متخليش الكشف يعتمد على سجلات الجهاز نفسه بس — اقرن مراجعة `dummyuser` بتاريخ الجدار الناري الخارجي وNetFlow لحركة المرور من ISE وإليه. (4) لو اختراق الجذر مطروح، التحقق من سلامة تهيئة الجهاز وسياسته قصاد النسخ الاحتياطية بيبقى خطوة تعافي إلزامية. الوقائع هنا مأخوذة من إرشاد Cisco (https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ISE-ABP-VNSW7Tn5)، وفهرس KEV عند CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، وThe Hacker News (https://thehackernews.com/2026/09/cisco-warns-of-new-zero-day-ise-auth.html)، وThe CyberSec Guru لأرقام حجم الدفعة (https://thecybersecguru.com/news/cisco-ise-cve-2026-76460-authentication-bypass). التحليل متساب منفصل عن التغطية.