أصدرت سيسكو تصحيحات لمعالجة ثغرة عالية الخطورة في برمجيات جدار الحماية الآمن ASA وبرمجيات الدفاع ضد التهديدات FTD، وقالت إنها استُغلت فعليا في هجمات. وتحمل الثغرة الرقم CVE-2026-76418، وتبلغ درجة خطورتها 8.6 وفق مقياس CVSS. ويمكن أن يتيح استغلالها لمهاجم بعيد دون مصادقة التسبب في إعادة تشغيل الجهاز بصورة مفاجئة، ما يؤدي إلى حالة حجب خدمة.
وبحسب سيسكو، يعود الخلل إلى خدمة الوصول عن بعد عبر SSL VPN في هذه البرمجيات. وقالت في نشرة أمنية صدرت يوم الأربعاء إن السبب أخطاء منطقية تحدث عند ضبط المصادقة الثانوية على مجموعة نفق، وإن المهاجم قد يستغلها بإرسال طلب مصمم خصيصا عند الاتصال بشبكة SSL VPN، فيتسبب في إعادة تشغيل الجهاز المتأثر. وأضافت أنها علمت بالاستغلال الفعلي في أكتوبر 2026، لكنها لم تكشف موعد بدء الهجمات ولا الجهة المسؤولة عنها ولا نطاقها.
ما الإصدارات المتأثرة والإصلاحات المتاحة؟
تتوفر الإصلاحات في إصدارات برمجيات ASA التالية: للإصدار 9.16 وما قبله الإصدار 9.16.4.104، وللإصدار 9.18 الإصدار 9.18.4.96، وللإصدار 9.20 الإصدار 9.20.4.50، وللإصدار 9.22 الإصدار 9.22.3.200، وللإصدار 9.23 الإصدار 9.23.1.48، وللإصدار 9.24 الإصدارين 9.24.1.27 و9.24.10.1.
وفي برمجيات FTD، الإصلاح في الإصدار 7.0.11 للفرع 7.0 وما قبله، و7.2.13 للفرع 7.2، و7.4.9 للفرع 7.4، و7.6.7 للفرع 7.6، و7.7.14 للفرع 7.7، و10.0.3 للفرع 10.0، و10.1.1 للفرع 10.1.
متى تتأثر الأجهزة بالثغرة؟
أوضحت سيسكو أن الأجهزة تتأثر عند توافر ثلاثة شروط معا: تشغيل إصدار ضعيف من برمجيات ASA أو FTD، وإمكانية الوصول إلى خدمة تسجيل الدخول عبر SSL VPN، وضبط المصادقة الثانوية ضمن نطاق مجموعة النفق. وإذا كان الأمر tunnel-group-list enable مفعلا، فعلى المسؤولين فحص جميع مجموعات الأنفاق، بما فيها المجموعة الافتراضية DefaultWEBVPNGroup، بحثا عن secondary-authentication-server-group. وإذا لم يكن الأمر مفعلا أو أُزيل بالأمر no tunnel-group-list enable، فينبغي فحص المجموعة الافتراضية وحدها، لأن تعطيل قائمة المجموعات لا يزيل التعرض للثغرة حين تستخدم هذه المجموعة المصادقة الثانوية.
وكإجراء تخفيف مؤقت، توصي الشركة بإيقاف قائمة مجموعات الأنفاق إذا كانت المجموعة الافتراضية لا تستخدم المصادقة الثانوية، أو تعطيل المصادقة الثانوية على أي مجموعة نفق يضبطها المستخدم أو على المجموعة الافتراضية. وفي برمجيات FTD، ينبغي مراجعة سياسة VPN للوصول عن بعد المنشورة وملف الإعدادات الجاري الناتج عنها في مركز الإدارة FMC أو مدير الأجهزة FDM. وأكدت سيسكو أن تسجيل الدخول الناجح إلى VPN ليس شرطا للوصول إلى مسار المعالجة المتأثر.
إفصاح موازٍ عن مجموعة UAT-11473
يأتي هذا الإفصاح بالتزامن مع كشف سيسكو عن أن جهة تهديد متقدمة مستمرة تتتبعها باسم UAT-11473 استغلت الثغرة CVE-2026-20127، وهي ثغرة تجاوز مصادقة في وحدات التحكم كاتاليست في سيسكو SD-WAN، للحصول على وصول غير مصرح به إلى الأنظمة المتأثرة. وتستهدف هذه النشاطات قطاعات خدمات الفضاء والأقمار الصناعية وتقنيات الدفاع والطيران وأبحاث السياسات، ويقدّر أنها تتشارك تداخلات في البنية التحتية مع شبكة القطار الصامت السرية التابعة لفولت تايفون.
وقالت وحدة تالوس إن المجموعة ثبتت بعد ذلك إطار برمجيات خبيثة مخصصا تتبعه باسم كي دريفت، يتألف من مكونات عدة، منها بولي فليم وليتل فيلش، مصممة لجمع معلومات المفاتيح الحساسة وللعمل كأبواب خلفية وكخوادم وسيطة للقيادة والتحكم. وأضافت أن الإطار مصمم لتوفير وصول دائم طويل الأمد وسحب آلي لمواد المفاتيح الحساسة، ويعمل داخل عمليات مستوى التحكم في SD-WAN، وقادر على اعتراض حركة التحكم بعد فك تشفيرها واستخراج بيانات جلسات التحكم ومواد مفاتيح مستوى البيانات، وتجهيز البيانات المجمعة أو إرسالها في سجلات مشفرة.
