يوم صفر Cisco Secure Email Gateway CVE-2026-76461 — منين حقن SQL فتحليل البريد يسالي بتنفيذ root
CVE-2026-76461 (CVSS 9.8) كيستغل فعليا وتزاد لكتالوج KEV ديال CISA. حنا كنفككو النمط المتكرر ديال «اختراق root لجهاز الحدود» — وشنو كيعني منين سجلات الجهاز براسو ما بقاوش محل ثقة.
هاد المقال ترجمو بالآلة.
نهار 14 سبتمبر 2026، Cisco كشفات ثغرة يوم صفر حرجة فبرنامج AsyncOS ديال Secure Email Gateway (SEG) ديالها، متتبعة كـCVE-2026-76461 بنقطة CVSS ديال 9.8، وبلغات بلي PSIRT ديالها علم بالاستغلال النشيط فسبتمبر 2026. الثغرة جاية من تحقق غير كاف فمنطق تحليل البريد: المهاجم يقدر يرسل بريد مصنوع فيه عبارات SQL خبيثة، ويحصل على تنفيذ SQL بلا توثيق عن بعد، وفي الآخر ينفذ أوامر اعتباطية بصلاحيات root على نظام التشغيل اللي تحت. أجهزة SEG الفيزيائية والافتراضية بجوج متأثرة بغض النظر على التكوين، بينما Secure Email and Web Manager وSecure Web Appliance ما متأثرينش حسب التقرير. التصحيح كيخرج فإرشاد Cisco (cisco-sa-esa-inj-2bLVGmhX).
CISA زادات الثغرة لكتالوج Known Exploited Vulnerabilities (KEV) ديالها نهار 14 سبتمبر، وعطات الوكالات الفيدرالية حتى لـ17 سبتمبر باش يصححو. فنفس النهار، Cisco صلاحات حتى ربعة ثغرات حرجة خرين فـSEG وفـSEWM (CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443)، وعليهم كتقول ما كاين حتى دليل على استغلال فالواقع. Cisco كتحذر بلي مع ولوج بمستوى root، «أدلة الاستغلال ومؤشرات الاختراق يمكن يتحيدو ولا يتخباو»، وكتنصح يتفحصو عبارات SQL مشبوهة فـmail_logs وفنفس الوقت يقاطعو سجلات الشبكة وfirewall خارج الجهاز على الرفع والتنزيل غير المتوقع. Shadowserver دابا كيتبع أكثر من 400 جهاز SEG مكشوف للإنترنت (ولكن ما يقدرش يميز مصائد العسل ولا المضيفين اللي تأمّنو دابا).
التحليل (مفصول على الوقائع): هادي أقل من يوم صفر بوحدو وقد ما هي نقطة بيانات واحدة فموجة هجمات على أجهزة حدود مكشوفة. فـ9-11 سبتمبر بوحدهم، كتالوج KEV زاد فيه تجاوز توثيق Citrix NetScaler (CVE-2026-19490)، وكشف ذاكرة kernel ديال MikroTik RouterOS (CVE-2026-86060 / CVE-2026-67277)، وثغرات تدبير الصلاحيات ديال ConnectWise ScreenConnect (CVE-2026-84869)، ومسائل ترخيص ديال JFrog Artifactory (CVE-2026-42016 / CVE-2026-42018)، واجتياز مسار GitLab (CVE-2026-85706). استهداف البنية اللي عندها ثقة ضمنية — البريد، وVPN، والصيانة عن بعد — مستمر؛ فآخر غشت، Arctic Wolf حتى هي لاحظات هجمات اعتمادات واسعة ضد أجهزة VPN ديال Fortinet. وخا ما نقدروش نديرو ادعاءات قاطعة، اختراق جهاز الحدود كيعني بلي سلسلة الثقة كاملة اللي موراه (تدفقات التوثيق، وحركة البريد) كتتقبض دفعة واحدة، وهاد الشي كيخلي شعاع الانفجار مختلف على اختراق سيرفر واحد.
الآثار الدفاعية هي بلي سجلات الجهاز براسو ما خاصهاش تتعامل كمصدر حقيقة أولي منين اختراق root يولي معقول. كيف ما Cisco براسها كتنصح، الكشف خاصو يتأكد من سجلات خارج الجهاز ومن ملاحظة طرف ثالث بحال Shadowserver. هادا ماشي هم غريب حتى على المنظمات اليابانية: نهار 14 سبتمبر، Digital Agency ديال اليابان أعلنات بلي ثغرة فمنتج VPN كشفات تقريبا 246,000 سجل ديال الموظفين. تدبير ثغرات أجهزة الحدود مسألة حية حتى فاليابان.
لائحة عملية للأيام الجايين: (1) إلا كنتي كتشغل SEG/SEWM، تحقق وطبق الإصدارات المصلحة من إرشاد Cisco (أجل KEV هو 17 سبتمبر)؛ (2) من بعد التصحيح، راجع سجلات الشبكة وfirewall الخارجيين على الرفع والتنزيل المشبوه؛ (3) جرد شنو من أجهزة الحدود مواجه للإنترنت وعاد شوف واش خاصها تكون هكذا؛ (4) تعامل مع هاد الشي كفرصة باش تراجع تصاميم الكشف اللي كيفترضو بلي سجلات الجهاز موثوقة. الوقائع فهاد المقال مستمدة من إرشاد Cisco، وكتالوج KEV ديال CISA، وThe Hacker News، وBleepingComputer؛ أقسام التحليل مبقاو مفصولين على التبليغ الواقعي.