ثغرة اليوم الصفري في Cisco Secure Email Gateway CVE-2026-76461 — حين ينتهي حقن SQL في تحليل البريد بتنفيذ بصلاحية الجذر
CVE-2026-76461 (CVSS 9.8) يُستغل بنشاط وأُضيف إلى فهرس KEV لدى CISA. نفكك النمط المتكرر «اختراق جذر لجهاز حدودي» — وما يعنيه حين لا يعود ممكنًا الوثوق بسجلات الجهاز نفسه.
تُرجمت هذه المقالة آليًا.
في 14 سبتمبر 2026، أفصحت Cisco عن ثغرة يوم صفري حرجة في برمجية AsyncOS لـ Secure Email Gateway (SEG)، تُتتبَّع بوصفها CVE-2026-76461 بدرجة CVSS قدرها 9.8، مفيدةً أن PSIRT لديها علم باستغلال نشط في سبتمبر 2026. تنبع الثغرة من تحقق غير كافٍ في منطق تحليل البريد: يستطيع المهاجم إرسال بريد مصمَّم يحتوي عبارات SQL خبيثة، وتحقيق تنفيذ SQL من دون مصادقة عن بُعد، وفي النهاية تنفيذ أوامر اعتباطية بامتيازات الجذر على نظام التشغيل الأساسي. تتأثر أجهزة SEG المادية والافتراضية بغض النظر عن التهيئة، بينما يُفاد أن Secure Email and Web Manager وSecure Web Appliance غير متأثرين. يصدر إصلاح في إرشاد Cisco (cisco-sa-esa-inj-2bLVGmhX).
أضافت CISA الثغرة إلى فهرس الثغرات المستغَلّة المعروفة (KEV) في 14 سبتمبر، ومنحت الوكالات الفيدرالية حتى 17 سبتمبر للتصحيح. في اليوم نفسه، أصلحت Cisco أيضًا أربع ثغرات حرجة أخرى في SEG وSEWM (CVE-2026-76440، CVE-2026-76441، CVE-2026-20353، CVE-2026-76443)، وتقول إنه لا دليل على استغلال لها في البرية. وتحذّر Cisco من أنه مع الوصول بمستوى الجذر «قد تُزال أدلة الاستغلال ومؤشرات الاختراق أو تُخفى»، وتوصي بالتحقق من عبارات SQL مريبة في mail_logs مع مقارنتها بسجلات الشبكة والجدار الناري خارج الجهاز بحثًا عن رفع وتنزيل غير متوقعين. ويتتبّع Shadowserver حاليًا أكثر من 400 جهاز SEG مكشوف للإنترنت (وإن كان لا يستطيع تمييز أوعية العسل أو المضيفين المؤمَّنين بالفعل).
تحليل (منفصل عن الوقائع): هذا أقل من يوم صفري منفرد وأكثر نقطة بيانات في موجة هجمات على أجهزة حدود مكشوفة. خلال 9-11 سبتمبر وحده، كسب فهرس KEV تجاوز مصادقة Citrix NetScaler (CVE-2026-19490)، وكشف ذاكرة النواة في MikroTik RouterOS (CVE-2026-86060 / CVE-2026-67277)، وثغرات إدارة امتيازات ConnectWise ScreenConnect (CVE-2026-84869)، ومسائل تفويض JFrog Artifactory (CVE-2026-42016 / CVE-2026-42018)، واجتياز مسار في GitLab (CVE-2026-85706). يستمر استهداف البنية الموثوقة ضمنًا — البريد، وVPN، والصيانة عن بُعد —؛ وفي أواخر أغسطس، رصد Arctic Wolf أيضًا هجمات بيانات اعتماد واسعة النطاق ضد أجهزة Fortinet VPN. ومع أننا لا نستطيع تقديم ادعاءات قاطعة، فإن اختراق جهاز حدودي يعني أن سلسلة الثقة كلها خلفه (تدفقات المصادقة، وحركة البريد) تُلتقط دفعة واحدة، وهو ما يجعل نصف قطر الأثر مختلفًا عن اختراق خادم واحد.
الدلالة الدفاعية هي أن سجلات الجهاز نفسه لا ينبغي أن تُعامل بوصفها مصدر حقيقة أوليًا ما إن يصبح اختراق الجذر معقولًا. وكما توصي Cisco نفسها، ينبغي تأييد الكشف من سجلات خارج الجهاز ومن رصد طرف ثالث مثل Shadowserver. وليس هذا شأنًا أجنبيًا عن المنظمات اليابانية أيضًا: في 14 سبتمبر، أعلنت Digital Agency في اليابان أن ثغرة في منتج VPN كشفت نحو 246,000 سجل أفراد. وإدارة ثغرات أجهزة الحدود مسألة حية داخل اليابان أيضًا.
قائمة تحقق عملية للأيام المقبلة: (1) إذا كنت تشغّل SEG/SEWM، فتحقق من الإصدارات المُصلحة في إرشاد Cisco وطبّقها (الموعد النهائي لـ KEV هو 17 سبتمبر)؛ (2) بعد التصحيح، راجع سجلات الشبكة والجدار الناري الخارجية بحثًا عن رفع/تنزيل مريب؛ (3) اجرِ جردًا لأجهزة الحدود المواجهة للإنترنت وأعد النظر في ما إذا كانت تحتاج إلى أن تكون كذلك؛ (4) عامل هذا بوصفه فرصة لمراجعة تصاميم الكشف التي تفترض أن سجلات الجهاز جديرة بالثقة. تُستمد الوقائع في هذا المقال من إرشاد Cisco، وفهرس KEV لدى CISA، وThe Hacker News، وBleepingComputer؛ وتُبقى أقسام التحليل منفصلة عن التغطية الوقائعية.