تحذيرات CISA بشأن ثغرات Cisco وCitrix وFortinet

تحذيرات CISA بشأن ثغرات Cisco وCitrix وFortinet وتحديد موعد لتحديث الفيدرالية

أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) يوم الأربعاء ثلاث ثغرات تؤثر على كل من Cisco وCitrix وFortinet إلى سجل الثغرات المعروفة المستغلة (KEV)، مما يتطلب من الوكالات الفيدرالية المدنية تنفيذ التحديثات بحلول 12 سبتمبر 2026.

الثغرات المحددة

• CVE-2026-20079 (درجة CVSS: 10.0) – ثغرة في تجاوز المصادقة في واجهة الويب لبرنامج Cisco Secure Firewall Management Center (FMC) يمكن أن تسمح لمهاجم بعيد غير مصرح له بتجاوز المصادقة وتنفيذ ملفات نصية على جهاز متأثر للحصول على وصول جذر إلى نظام التشغيل الأساسي.
• CVE-2026-19490 (درجة CVSS: 9.3) – ثغرة في تجاوز المصادقة في Citrix NetScaler ADC وNetScaler Gateway عندما يتم تكوين الجهاز كخادم افتراضي AAA أو كـ Gateway (SSL VPN، ICA Proxy، CVPN، أو RDP Proxy).
• CVE-2025-25249 (درجة CVSS: 7.3) – ثغرة في تجاوز الذاكرة في Fortinet FortiOS وFortiSwitchManager وFortiSASE التي قد تسمح لمهاجم بعيد غير مصرح له بتنفيذ تعليمات برمجية أو أوامر عشوائية من خلال طلبات مصممة بشكل خاص.

تأتي هذه التطورات بعد أن قامت Cisco بتحديث استشارتها بشأن CVE-2026-20079 لتشير إلى أنها أصبحت على علم بمحاولات استغلال نشطة تستهدف الثغرة في أغسطس 2026. وقد حددت الشركة ثلاث مجموعات من الأنشطة بعد الاختراق على مثيلات FMC، وهي UAT-12197 وUAT-11823 وUAT-11988، التي تستغل الثغرة لنشر قذائف الويب والبرامج الضارة.

لقد كانت أجهزة توجيه Cisco هدفًا للهجمات في السنوات الأخيرة. في تقرير نُشر في نهاية الشهر الماضي، ذكرت Sygnia أنها رصدت مجموعة تجسس سيبرانية مرتبطة بالصين تُدعى Fire Ant تحصل على وصول غير مصرح به إلى أجهزة توجيه Cisco IOS XR وتستغلها لتسهيل البقاء، وجمع البيانات، والتوغل أعمق في الشبكات عالية القيمة عبر برامج ضارة مخصصة.

“هذا السلوك يحول دور جهاز التوجيه من جهاز نقل إلى منصة جمع”، كما أشار إلى ذلك الشركة الأمنية. “بمجرد أن سيطر المهاجم على جهاز التوجيه، أصبح الجهاز نقطة مراقبة لمراقبة حركة المرور التي تنتقل عبر مسارات الشبكة الموثوقة.”

من ناحية أخرى، شهدت CVE-2026-19490 نشاط استغلال يستهدف أنظمة honeypot الخاصة بـ Previdian، مع تسجيل 56 محاولة منذ 3 سبتمبر 2026. من بين هذه المحاولات، تم تسجيل 36 محاولة في 8 سبتمبر 2026 وحده.

تتبع إضافة CVE-2025-25249 إلى سجل KEV تقريرًا من SOCRadar حول حملة هجوم خبيثة يُشتبه في أنها استغلت الثغرة لتسليم حصان طروادة للوصول عن بُعد مدعوم بميزات غنية يُطلق عليه PivotC2. يدعم إطار ما بعد الاستغلال ميزات مثل الأصداء التفاعلية، ونفق الشبكة، ومسح الشبكة، وجمع التكوين.

يُقدّر أن أكثر من 3000 عنوان IP تم استهدافها كجزء من الحملة، مما أدى إلى إصابة 178 جهازًا بـ PivotC2. تتركز معظم الاختراقات في الولايات المتحدة. يُعتقد أن النشاط هو عمل جهة تهديد تتحدث الروسية مدفوعة بالربح المالي. يعود أقدم دليل على الاستغلال النشط للثغرة إلى يوليو 2026.

في الهجمات الملاحظة، يستهدف نص برمجي يحتوي على ثغرة ثغرة FortiGate ضعيفة لإنشاء قذيفة عكسية وتشغيل أمر JavaScript أحادي السطر عبر Node.js. وهذا بدوره يؤدي إلى تحميل حمولة JavaScript من المرحلة الثانية، والتي يتم فك تشفيرها وتنفيذها لتسليم PivotC2.

“يؤسس PivotC2 اتصالًا دائمًا عبر TLS إلى خادم القيادة والتحكم (C2) عن بُعد. تشمل ميزاته الأصداء التفاعلية، ونقل الملفات، ونفق SOCKS5/HTTP، وإعادة توجيه المنافذ المحلية والبعيدة، ومسح نطاق CIDR، وجمع تكوينات FortiGate وفك تشفير بيانات الاعتماد”، كما قالت SOCRadar. “يمكن أن يمكّن علم التشغيل التلقائي العمليات المستقلة، حيث يتم تشغيل سلسلة أوامر محددة مسبقًا تلقائيًا عند الإصابة الأولية.”

تظهر النتائج مرة أخرى أن الجهات الفاعلة تهديدية تقوم باستمرار بمسح الأجهزة الطرفية المعرضة للحصول على الوصول الأولي من خلال استغلال نقص المراقبة أو تسجيل البيانات. توصي SOCRadar المنظمات التي تستخدم منتجات Fortinet بتقليل الوصول إلى الإنترنت، والبحث عن مؤشرات الاختراق، وتدوير بيانات الاعتماد، وتطبيق أحدث التصحيحات.