ثغرة الزيرو داي في Cisco Secure Email Gateway CVE-2026-76461 — لما حقن SQL في تحليل البريد يخلّص بتنفيذ بصلاحية الجذر
CVE-2026-76461 (CVSS 9.8) بيتستغل بنشاط واتضاف لفهرس KEV عند CISA. بنفكك النمط المتكرر «اختراق جذر لجهاز حدودي» — ومعنى إن الثقة في سجلات الجهاز نفسه تبقى مش ممكنة.
المقالة دي اتترجمت بالآلة.
يوم 14 سبتمبر 2026، Cisco كشفت عن ثغرة زيرو داي حرجة في برمجية AsyncOS بتاعة Secure Email Gateway (SEG)، متتتبَّعة كـ CVE-2026-76461 بدرجة CVSS قيمتها 9.8، وقالت إن PSIRT عندها علم باستغلال نشط في سبتمبر 2026. الثغرة جاية من تحقق مش كافي في منطق تحليل البريد: المهاجم يقدر يبعت بريد مصمَّم فيه عبارات SQL خبيثة، ويحقّق تنفيذ SQL من غير مصادقة عن بُعد، وفي الآخر ينفّذ أوامر اعتباطية بامتيازات الجذر على نظام التشغيل اللي تحت. أجهزة SEG المادية والافتراضية متأثرة مهما كانت التهيئة، بينما بيتقال إن Secure Email and Web Manager وSecure Web Appliance مش متأثرين. الإصلاح طالع في إرشاد Cisco (cisco-sa-esa-inj-2bLVGmhX).
CISA ضافت الثغرة لفهرس الثغرات المستغَلّة المعروفة (KEV) يوم 14 سبتمبر، ودّت الوكالات الفيدرالية لحد 17 سبتمبر عشان يصحّحوا. في نفس اليوم، Cisco صلّحت كمان أربع ثغرات حرجة تانية في SEG وSEWM (CVE-2026-76440، CVE-2026-76441، CVE-2026-20353، CVE-2026-76443)، وبتقول مفيش دليل على استغلال ليها في الواقع. وCisco بتحذّر إنه مع الوصول بمستوى الجذر «ممكن أدلة الاستغلال ومؤشرات الاختراق تتشال أو تتخبّى»، وبتوصي بالتأكد من عبارات SQL مريبة في mail_logs مع مقارنتها بسجلات الشبكة والجدار الناري برّه الجهاز عشان رفع وتنزيل مش متوقعين. وShadowserver حاليًا بيتتبّع أكتر من 400 جهاز SEG مكشوف للإنترنت (بس مش قادر يميّز أوعية العسل أو المضيفين اللي اتأمّنوا خلاص).
تحليل (منفصل عن الوقائع): ده أقل من زيرو داي لوحده وأكتر نقطة بيانات في موجة هجمات على أجهزة حدود مكشوفة. خلال 9-11 سبتمبر بس، فهرس KEV كسب تجاوز مصادقة Citrix NetScaler (CVE-2026-19490)، وكشف ذاكرة النواة في MikroTik RouterOS (CVE-2026-86060 / CVE-2026-67277)، وثغرات إدارة امتيازات ConnectWise ScreenConnect (CVE-2026-84869)، ومسائل تفويض JFrog Artifactory (CVE-2026-42016 / CVE-2026-42018)، واجتياز مسار في GitLab (CVE-2026-85706). استهداف البنية الموثوقة ضمنًا — البريد، وVPN، والصيانة عن بُعد — مستمر؛ وفي أواخر أغسطس، Arctic Wolf كمان رصد هجمات بيانات اعتماد واسعة على أجهزة Fortinet VPN. ومع إننا مش قادرين نقدّم ادعاءات قاطعة، اختراق جهاز حدودي معناه إن سلسلة الثقة كلها اللي وراه (تدفقات المصادقة، وحركة البريد) بتتلتقط مرة واحدة، وده بيخلّي نصف قطر الأثر مختلف عن اختراق سيرفر واحد.
الدلالة الدفاعية إن سجلات الجهاز نفسه مفروض تتعاملش كمصدر حقيقة أولي أول ما اختراق الجذر يبقى معقول. وزي ما Cisco نفسها بتوصي، الكشف لازم يتأيّد من سجلات برّه الجهاز ومن رصد طرف تالت زي Shadowserver. وده مش شأن أجنبي عن المنظمات اليابانية برضه: يوم 14 سبتمبر، Digital Agency في اليابان أعلنت إن ثغرة في منتج VPN كشفت حوالي 246,000 سجل أفراد. وإدارة ثغرات أجهزة الحدود مسألة حية جوّا اليابان برضه.
قايمة تحقق عملية للأيام الجاية: (1) لو بتشغّل SEG/SEWM، اتأكد من الإصدارات المتصلحة في إرشاد Cisco وطبّقها (الموعد النهائي لـ KEV هو 17 سبتمبر)؛ (2) بعد التصحيح، راجع سجلات الشبكة والجدار الناري الخارجية عشان رفع/تنزيل مريب؛ (3) اعمل جرد لأجهزة الحدود المفتوحة على الإنترنت وارجع فكّر لو هي محتاجة تبقى كده؛ (4) اعتبر ده فرصة لمراجعة تصاميم الكشف اللي بتفترض إن سجلات الجهاز تستاهل الثقة. وقائع المقال ده مأخوذة من إرشاد Cisco، وفهرس KEV عند CISA، وThe Hacker News، وBleepingComputer؛ وأقسام التحليل متسيبة منفصلة عن التغطية الوقائعية.