أطلقت شركة سيسكو تحذيرًا أمنيًا عاجلًا بعد اكتشاف ثغرة خطيرة من فئة «يوم الصفر» يتم استغلالها فعليًا ضد منصتها Cisco Catalyst SD-WAN Manager، وهي المنصة التي تعتمد عليها المؤسسات لإدارة شبكات SD-WAN واسعة النطاق. وتمثل الثغرة تهديدًا بالغ الخطورة لأنها تسمح للمهاجمين بتجاوز آليات المصادقة والوصول إلى واجهات الإدارة بصلاحيات المسؤول الكامل دون الحاجة إلى أي بيانات تسجيل دخول.
وتأتي هذه الثغرة في وقت تواجه فيه بيئات SD-WAN اهتمامًا متزايدًا من جانب الجماعات الإجرامية والجهات المدعومة من دول، نظرًا للدور المركزي الذي تلعبه هذه الأنظمة في إدارة حركة البيانات والاتصالات داخل المؤسسات الكبرى والهيئات الحكومية ومزودي الخدمات.
ثغرة حرجة تمنح صلاحيات المسؤول الكامل عن بُعد
تحمل الثغرة المعرف CVE-2026-76504، وحصلت على درجة خطورة 9.8 من أصل 10 وفق نظام CVSS، ما يضعها ضمن أخطر الثغرات الأمنية المكتشفة خلال العام الجاري.
ووفقًا لسيسكو، فإن الخلل يوجد داخل جزء من واجهة برمجة التطبيقات API المسؤول عن إدارة جلسات تسجيل الدخول. وينشأ الخلل نتيجة معالجة غير صحيحة لعملية ترميز URI ضمن طلبات HTTP، الأمر الذي يسمح للمهاجم بصياغة طلبات خاصة قادرة على تجاوز قواعد المصادقة المفروضة على بعض واجهات البرمجة.
ويكمن الخطر الحقيقي في أن المهاجم لا يحتاج إلى أي حساب أو بيانات اعتماد مسبقة، إذ يكفي أن يتمكن من إرسال طلب مصمم خصيصًا إلى واجهة برمجة التطبيقات الخاصة بالنظام حتى يحصل على إمكانات المستخدم الإداري.
وتؤكد سيسكو أن حساب المسؤول الافتراضي يمتلك دور netadmin، وهو دور يتمتع بصلاحيات واسعة تتيح تنفيذ جميع العمليات على الجهاز وإدارة مكونات الشبكة المختلفة بصورة كاملة.
استغلال فعلي للهجمات ولا حلول بديلة متاحة
أوضحت سيسكو أن فريق الاستجابة للحوادث الأمنية التابع لها أصبح على علم بعمليات استغلال نشطة للثغرة خلال سبتمبر 2026، ما يرفع من مستوى الخطورة ويضع المؤسسات أمام تهديد فوري وليس نظريًا.
واللافت أن الشركة لم تطرح أي حلول مؤقتة أو إجراءات بديلة للتخفيف من المخاطر، مؤكدة أن التحديثات الأمنية هي الوسيلة الوحيدة لمعالجة المشكلة.
كما لم تكشف الشركة عن عدد الجهات التي تعرضت للهجمات أو هوية المهاجمين أو المدة الزمنية التي استمرت خلالها عمليات الاستغلال قبل اكتشافها، وهو نمط معتاد في بعض التحقيقات الجارية عندما تكون المعلومات المتعلقة بالمهاجمين أو نطاق الهجمات ما تزال قيد التحليل.
وقد جرى اكتشاف الثغرة خلال معالجة إحدى الحالات الفنية بواسطة مركز المساعدة التقنية TAC التابع لسيسكو، ما يشير إلى أن الكشف عنها لم يأت عبر برنامج أبحاث خارجي أو تقارير عامة وإنما خلال متابعة حالة تشغيلية حقيقية.
من هي الجهات الأكثر عرضة للخطر؟
بحسب التحذير الأمني، فإن جميع أنظمة Cisco Catalyst SD-WAN Manager المتأثرة معرضة للخطر بغض النظر عن طريقة إعدادها أو تكوينها الداخلي.
وتزداد المخاطر بشكل كبير عندما تكون واجهات الإدارة مكشوفة مباشرة على الإنترنت، إذ يستطيع المهاجم الوصول إليها وتنفيذ الهجوم من أي موقع جغرافي حول العالم دون الحاجة إلى اختراق أجهزة داخلية أو الحصول على موطئ قدم داخل الشبكة.
ولذلك شددت سيسكو على ضرورة تقييد الوصول إلى منصات الإدارة وعدم السماح بالاتصال المباشر بها من الشبكات غير الموثوقة. كما أوصت بحصر الوصول عبر عناوين IP موثوقة أو من خلال شبكات إدارية مخصصة، مع وضع مكونات التحكم خلف جدران حماية قوية.
وتنص إرشادات تقوية الحماية الخاصة بمنصة SD-WAN على أن المنافذ الإدارية الحساسة مثل 443 و22 و830 لا ينبغي كشفها مطلقًا للإنترنت العام، بل يجب الوصول إليها عبر أنظمة وسيطة أو شبكات إدارة داخلية مخصصة.
الإصدارات التي تحتوي على الإصلاحات الأمنية
أصدرت سيسكو تحديثات لمعالجة الثغرة عبر عدة مسارات إصدارية، وأكدت أن أي مؤسسة قامت بتثبيت التحديثات السابقة الخاصة بثغرات مايو أو يونيو 2026 لا تزال بحاجة إلى تثبيت الإصلاح الجديد.
وتشمل الإصدارات المصححة ما يلي:
20.9.10.1 لسلسلة 20.9
20.12.8.2 لسلسلة 20.12
20.15.6.1 لسلسلة 20.15
20.18.4.1 لسلسلة 20.18
26.1.2.1 لسلسلة 26.1
26.2.1 لسلسلة 26.2
أما الأنظمة الأقدم من الإصدار 20.9 فتحتاج إلى الترقية إلى نسخة مدعومة تتضمن الإصلاح الأمني.
وفي المقابل أكدت الشركة أن خدمة Cisco SD-WAN Cloud المُدارة من قبل سيسكو تمت معالجتها مسبقًا ضمن الإصدار 20.15.605، ولا يحتاج مستخدموها إلى اتخاذ إجراءات إضافية.
كيفية البحث عن مؤشرات الاختراق
أشارت سيسكو إلى أن عمليات الاستغلال ترتبط بمسار تسجيل الدخول المعروف باسم j_security_check المستخدم في المصادقة المعتمدة على الجلسات.
ويعمل المهاجمون على تعديل هذا المسار عبر ترميز أحد الأحرف باستخدام أسلوب URI Encoding. فعلى سبيل المثال يمكن استبدال الحرف الأول من المسار بالقيمة المشفرة %6a، ما يؤدي إلى إنشاء مسار يبدو مختلفًا ظاهريًا لكنه يُفسر من قبل النظام بالطريقة نفسها.
ولذلك أوصت الشركة بمراجعة ملفي السجلات الرئيسيين:
/var/log/nms/containers/service-proxy/serviceproxy-access.log
/var/log/nms/vmanage-server.log
كما شددت على ضرورة مراقبة السجلات التي تتضمن أسماء مستخدمين تبدأ بالبادئة viptela-reserved-، لأنها ترتبط بحسابات خدمات داخلية محجوزة.
ورغم أن وجود هذه الإدخالات لا يعني بالضرورة حدوث اختراق، فإن ظهورها من عناوين IP مجهولة أو غير مصرح لها يستدعي التحقيق الفوري ومقارنتها بالنشاط المشروع داخل المؤسسة.
سلسلة متواصلة من الثغرات المستغلة في SD-WAN
تمثل CVE-2026-76504 أحدث حلقة في سلسلة طويلة من الثغرات التي استهدفت منتجات Cisco SD-WAN خلال عام 2026، حيث سبقتها عدة ثغرات خطيرة أخرى جرى استغلال بعضها فعليًا في الهجمات الميدانية.
كما أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA ثماني ثغرات مرتبطة بمنصات Cisco SD-WAN ضمن قائمة الثغرات المعروفة المستغلة خلال عام 2026، وهو ما يعكس الاهتمام المتزايد من جانب المهاجمين بهذه الأنظمة الحيوية.
ويشير هذا التصاعد إلى أن منصات إدارة الشبكات أصبحت هدفًا استراتيجيًا للمهاجمين، نظرًا لأن اختراقها يمنح الوصول إلى بنية الاتصال المؤسسية بالكامل، وهو ما يجعل تحديث الأنظمة بصورة مستمرة وتقييد واجهات الإدارة ومراقبة السجلات التشغيلية من أهم إجراءات الدفاع المطلوبة لحماية المؤسسات من الهجمات المتطورة.
