أعلنت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، يوم الإثنين، عن إضافة أربع ثغرات أمنية جديدة إلى كتالوج الثغرات المستغلة بنشاط (KEV)، وذلك استنادًا إلى أدلة تؤكد استخدامها الفعلي في هجمات سيبرانية جارية.
تشمل القائمة الثغرات التالية:
-
CVE-2014-3931 (درجة CVSS: 9.8): ثغرة تجاوز سعة المخزن المؤقت في أداة Multi-Router Looking Glass (MRLG) تسمح للمهاجمين عن بُعد بكتابة بيانات تعسفية في الذاكرة مما يؤدي إلى تلفها.
-
CVE-2016-10033 (درجة CVSS: 9.8): ثغرة حقن أوامر في مكتبة PHPMailer قد تمكّن المهاجم من تنفيذ تعليمات برمجية عشوائية ضمن السياق البرمجي للتطبيق أو التسبب في حالة حرمان من الخدمة (DoS).
-
CVE-2019-5418 (درجة CVSS: 7.5): ثغرة تجاوز المسار في إطار Ruby on Rails عبر وحدة Action View، تتيح للمهاجمين الوصول إلى محتوى ملفات تعسفية على نظام الملفات.
-
CVE-2019-9621 (درجة CVSS: 7.5): ثغرة Server-Side Request Forgery (SSRF) في مجموعة Zimbra Collaboration Suite تُمكن من الوصول غير المصرح به إلى الموارد الداخلية وتنفيذ تعليمات برمجية عن بُعد.
ورغم عدم توفر تقارير علنية عن كيفية استغلال الثغرات الثلاث الأولى في الهجمات الواقعية، إلا أن ثغرة CVE-2019-9621 تم ربط استغلالها من قبل مجموعة تهديد صينية تُعرف باسم Earth Lusca، وذلك في حملة تضمنت نشر أبواب خلفية “ويب شيلز” وأداة Cobalt Strike، بحسب تقارير شركة تريند مايكرو في سبتمبر 2023.
ودعت CISA الوكالات الفيدرالية المدنية الأمريكية إلى تطبيق التصحيحات الأمنية اللازمة بحلول 28 يوليو 2025 كحد أقصى لضمان أمن الشبكات الحكومية.
تفاصيل تقنية حول “Citrix Bleed 2”
جاء هذا الإعلان بالتزامن مع نشر تحليلات تقنية لثغرة أمنية حرجة تُعرف باسم Citrix Bleed 2 (CVE-2025-5777) في نظام Citrix NetScaler ADC، والتي يُعتقد أنها تخضع حاليًا للاستغلال الفعلي، وفقًا لتحليلات من مختبرات watchTowr Labs وHorizon3.ai.
وقال بنجامين هاريس، الرئيس التنفيذي لشركة watchTowr، إن استغلال هذه الثغرة بالإضافة إلى ثغرة أخرى تحمل الرقم CVE-2025-6543 يُمكّن المهاجمين من قراءة محتوى الذاكرة، مما قد يكشف عن بيانات حساسة مثل معلومات الجلسات، وبيانات تسجيل الدخول، وحتى رموز الوصول (Tokens).
وتعتمد آلية الاستغلال على إرسال طلب تسجيل دخول إلى نقطة النهاية بحيث يتم عكس القيمة المُدخلة في الرد، سواء نجح الطلب أو فشل. وباستخدام حيلة في تنسيق الطلب، يمكن للمهاجم تسريب ما يقارب 127 بايت من البيانات من الذاكرة في كل مرة.
وقد أوضح الباحثون أن سبب الثغرة يعود إلى استخدام دالة بطريقة غير آمنة، باستخدام سلسلة تنسيق التي تسمح بطباعة عدد محدد من الأحرف قبل التوقف عند أول بايت فارغ، مما يؤدي إلى تسريب أجزاء من بيانات غير مهيأة في مكدس الذاكرة.
وأكدت CISA أن هذه الثغرات لم يُبلّغ عن استغلالها الواسع حتى الآن، لكنها شددت على ضرورة تحديث الأنظمة المصابة بشكل فوري لتفادي التهديدات المحتملة.
