Cisco Secure Email Gateway زیرو ڈے CVE-2026-76461 — جب ای میل پارسنگ SQL انجیکشن روٹ ایگزیکیوشن پر ختم ہوتا ہے
CVE-2026-76461 (CVSS 9.8) فعال طور پر استحصال ہو رہا ہے اور CISA کے KEV کیٹلاگ میں شامل کیا گیا۔ ہم بار بار آنے والے "سرحدی آلے کے روٹ سمجھوتے" نمونے کو کھولتے ہیں — اور اس کا مطلب جب آلے کے اپنے لاگ پر اب بھروسا نہیں کیا جا سکتا۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
14 ستمبر 2026 کو Cisco نے اپنے Secure Email Gateway (SEG) کے AsyncOS سافٹ ویئر میں ایک سنگین زیرو ڈے کمزوری کا انکشاف کیا، جسے CVE-2026-76461 کے طور پر ٹریک کیا گیا، CVSS اسکور 9.8، اور رپورٹ کیا کہ اس کا PSIRT ستمبر 2026 میں فعال استحصال سے آگاہ ہوا۔ نقص ای میل پارسنگ منطق میں ناکافی تصدیق سے آتا ہے: حملہ آور بدنیتی والے SQL بیانات والا خاص طور پر تیار ای میل بھیج سکتا ہے، بعید طور پر تصدیق کے بغیر SQL ایگزیکیوشن حاصل کر سکتا ہے، اور آخر کار بنیادی آپریٹنگ سسٹم پر روٹ مراعات کے ساتھ من مانا کمانڈ چلا سکتا ہے۔ طبعی اور ورچوئل دونوں SEG آلات ترتیب کی پروا کیے بغیر متاثر ہیں، جبکہ Secure Email and Web Manager اور Secure Web Appliance مبینہ طور پر متاثر نہیں۔ اصلاح Cisco کے مشورے میں آتی ہے (cisco-sa-esa-inj-2bLVGmhX)۔
CISA نے 14 ستمبر کو کمزوری کو اپنے Known Exploited Vulnerabilities (KEV) کیٹلاگ میں شامل کیا، وفاقی ایجنسیوں کو پیچ کے لیے 17 ستمبر تک مہلت دیتے ہوئے۔ اسی دن Cisco نے SEG اور SEWM میں 4 دیگر سنگین نقائص بھی درست کیے (CVE-2026-76440، CVE-2026-76441، CVE-2026-20353، CVE-2026-76443)، جن کے لیے وہ کہتا ہے کہ حقیقی ماحول میں استحصال کا کوئی ثبوت نہیں۔ Cisco خبردار کرتا ہے کہ روٹ سطح رسائی کے ساتھ، "استحصال کا ثبوت اور سمجھوتے کے اشارے ہٹائے یا چھپائے جا سکتے ہیں،" اور mail_logs میں مشکوک SQL بیانات کی جانچ کی سفارش کرتا ہے، ساتھ غیر متوقع اپ لوڈ اور ڈاؤن لوڈ کے لیے ڈیوائس سے باہر نیٹ ورک اور فائر وال لاگ کی مقابل جانچ۔ Shadowserver اس وقت 400 سے زیادہ انٹرنیٹ کھلے SEG آلات کو ٹریک کرتا ہے (اگرچہ وہ ہنی پاٹ یا پہلے سے محفوظ ہوسٹ میں فرق نہیں کر سکتا)۔
تجزیہ (حقائق سے الگ): یہ اکیلا زیرو ڈے کم ہے، کھلے سرحدی آلات پر حملوں کی لہر میں ایک ڈیٹا نقطہ زیادہ۔ صرف 9-11 ستمبر کے اندر، KEV کیٹلاگ میں آئے Citrix NetScaler تصدیق بائی پاس (CVE-2026-19490)، MikroTik RouterOS کرنل میموری افشا (CVE-2026-86060 / CVE-2026-67277)، ConnectWise ScreenConnect مراعات انتظام نقائص (CVE-2026-84869)، JFrog Artifactory اجازت مسائل (CVE-2026-42016 / CVE-2026-42018)، اور ایک GitLab پاتھ ٹراورسل (CVE-2026-85706)۔ ضمنی طور پر قابل اعتماد انفراسٹرکچر — ای میل، VPN، بعید دیکھ بھال — کو نشانہ بنانا جاری ہے؛ اگست کے آخر میں Arctic Wolf نے Fortinet VPN آلات کے خلاف بڑے پیمانے کے اسناد حملے بھی دیکھے۔ اگرچہ ہم قطعی دعوے نہیں کر سکتے، سرحدی آلے کے سمجھوتے کا مطلب ہے کہ اس کے پیچھے پوری اعتماد کی زنجیر (تصدیق کے بہاؤ، میل ٹریفک) ایک ساتھ گرفت میں آ جاتی ہے، جس سے دھماکے کا رداس واحد سرور سمجھوتے سے مختلف ہوتا ہے۔
دفاعی مفہوم یہ ہے کہ ایک بار روٹ سمجھوتہ ممکن ہو تو آلے کے اپنے لاگ کو سچائی کے بنیادی ماخذ کے طور پر نہیں لینا چاہیے۔ جیسا Cisco خود سفارش کرتا ہے، شناخت کو ڈیوائس سے باہر کے لاگ سے اور Shadowserver جیسے فریق ثالث مشاہدے سے تصدیق کرنی چاہیے۔ یہ جاپانی تنظیموں کے لیے بھی بیرونی تشویش نہیں: 14 ستمبر کو جاپان کی Digital Agency نے اعلان کیا کہ ایک VPN مصنوع کی کمزوری نے تقریباً 246,000 اہلکار ریکارڈ کھول دیے۔ سرحدی آلے کی کمزوری کا انتظام ملکی طور پر بھی زندہ مسئلہ ہے۔
آنے والے دنوں کی عملی جانچ فہرست: (1) اگر آپ SEG/SEWM چلاتے ہیں، تو Cisco کے مشورے سے درست ریلیز تصدیق کریں اور لگائیں (KEV میعاد 17 ستمبر ہے)؛ (2) پیچ کے بعد، مشکوک اپ لوڈ/ڈاؤن لوڈ کے لیے بیرونی نیٹ ورک اور فائر وال لاگ کا جائزہ لیں؛ (3) فہرست بنائیں کہ کون سے سرحدی آلات انٹرنیٹ کی طرف ہیں اور دوبارہ سوچیں کہ کیا انہیں ہونا چاہیے؛ (4) اسے ان شناخت ڈیزائن کے جائزے کا موقع مانیں جو فرض کرتے ہیں کہ آلے کے لاگ قابل اعتماد ہیں۔ اس مضمون کے حقائق Cisco کے مشورے، CISA کے KEV کیٹلاگ، The Hacker News، اور BleepingComputer سے لیے گئے ہیں؛ تجزیہ حصوں کو حقائق کی رپورٹنگ سے الگ رکھا گیا ہے۔