Cisco تحذّر من استغلال نشط لثغرة حرجة في Secure Email Gateway

الاستغلال النشط لـ CVE-2026-76519

أصدرت Cisco تحذيراً من أن المهاجمين يستغلون بنشاط ثغرة حرجة في Secure Email Gateway هي CVE-2026-76519 بدرجة CVSS 9.8. تتيح الثغرة لمرسل غير مصرّح له كتابة ملفات إلى نظام تشغيل الجهاز باستخدام مرفق بريد خاص، وفي النهاية تنفيذ أوامر بصلاحيات root. عثرت Cisco على الثغرة عبر عمليات فحص داخلية وعلمت بالهجمات في أكتوبر. لا تذكر المعلومات عدد الأجهزة التي استُهدفت أو من يقف وراء ذلك أو ما إذا كان قد تم الحصول على وصول root. تواصلت Cisco مع عملاء Secure Email Cloud الذين ظهرت على أجهزتهم علامات اختراق، وأكدت أنها تعمل على الاستعادة والتصحيح.

الثغرة والتصحيح

تتطلب الثغرة شرطين: أن يكون File Reputation مفعّلاً ومرتبطاً بسياسة البريد كجزء من Advanced Malware Protection، وأن تكون حزمة Content Scanner Tools أقدم من 25.3.0.5525. بوابات AsyncOS المادية والافتراضية في الإصدارات المتأثرة عرضة للخطر، بينما Secure Email and Web Manager و Secure Web Appliance ليست كذلك. أسرع تصحيح هو تحديث Content Scanner Tools إلى الإصدار 25.3.0.5525 أو أحدث، والذي يعمل دون إعادة تشغيل. التصحيح الكامل لـ AsyncOS موجود في الإصدارين 15.5.5-014 و 16.5.0-780، اللذين أصدرتهما Cisco في 14 سبتمبر. البوابات الأقدم من 16.5 يجب أن تنتقل إلى 16.5.0-780. لا يوجد مسار لتجاوز الصفحة.

التحقق من الاختراق

للتحقق من محاولة الاستغلال، توفر Cisco أمراً واحداً: grep "System Security" system_logs. يعيد أحد أربع رسائل تشير إلى ما إذا تم العثور على مؤشر اختراق، أو انتهى الفحص، أو لم يظهر مؤشر. النتيجة النظيفة ليست ضماناً للأمان، لأن مهاجماً يملك root يمكنه حذف أو إخفاء الأدلة. يوصي Cisco بفحص سجلات جدار الحماية والشبكة خارج الجهاز بحثاً عن عمليات تحميل أو تنزيل غير متوقعة. في حالة الأجهزة الافتراضية المخترقة، يوصي Cisco بإعادة البناء ببيانات وصول جديدة ويحذّر من أن التحديث يدمّر البيانات الجنائية والسجلات. أعضاء العنقود يستخدمون أزواج مفاتيح SSH للمصادقة، لذلك إذا كان هناك جهاز مخترق واحد في العنقود، يجب أن يستعيد جميع الأعضاء.

ثغرة مستغلة ثانية في الشهر

هذه هي بالفعل ثغرة Secure Email Gateway الثانية التي أكدت Cisco هجوماً نشطاً عليها خلال شهر واحد. في 14 سبتمبر نُشرت CVE-2026-76461، وهي ثغرة حقن SQL في تحليل البريد، تتيح أيضاً لمرسل غير مصرّح له تنفيذ أوامر بصلاحيات root. تؤثر على جميع التكوينات، وفي نفس اليوم أُضيفت إلى فهرس CISA للثغرات المعروفة المستغلة. الثغرتان في أجزاء مختلفة من البرنامج، ولا تربط Cisco بين هذه الهجمات. تحديث سبتمبر المُشدّد جمع الثغرات الداخلية في خمس مجموعات CVE حسب فئات الخطورة، وحدّثت Cisco الإشعار يوم الأربعاء لتوضح أن اثنتين منها تُستغلان بنشاط بالفعل. هذه أيضاً ثغرة مستوى root الثالثة في هذه الأجهزة، وقد أكد Cisco استغلالها بعد ديسمبر، عندما استخدمت مجموعة UAT-9686 المرتبطة بالصين ثغرة zero-day، وهي CVE-2025-20393، في وظيفة عزل البريد العشوائي.

المصادر: The Hacker News