شركة Cisco تحذر من ثغرة أمنية حرجة في بوابة البريد الإلكتروني الآمنة يتم استغلالها فعلياً

hallway between glass-panel doors — Nastuh Abootalebi / Unsplash

أصدرت شركة Cisco تحذيراً بشأن ثغرة أمنية ذات مستوى حرج تؤثر على نظام AsyncOS الخاص بمنتج Cisco Secure Email Gateway، حيث أكدت الشركة أن هذه الثغرة قد تم استغلالها بالفعل في هجمات حقيقية.

تسمح الثغرة التي تحمل الرمز CVE-2026-76461 للمهاجمين غير المصرح لهم بتنفيذ أوامر بصلاحيات الجذر على الجهاز. وقد حصلت هذه الثغرة على درجة 9.8 من أصل 10.0 وفقاً لنظام تقييم CVSS. وتعود المشكلة إلى عدم كفاية التحقق من البيانات في منطق تحليل البريد الإلكتروني، مما يمكن المهاجم من إرسال رسائل بريد إلكتروني تحتوي على أوامر SQL ضارة عبر الأجهزة المتأثرة، دون الحاجة إلى امتلاك حساب مستخدم أو أي صلاحيات مسبقة على الجهاز.

يشمل التأثير أجهزة Cisco Secure Email Gateway بنسختيها المادية والافتراضية، بغض النظر عن إعدادات الجهاز. وفي المقابل، أوضحت الشركة أن منتجات Secure Email and Web Manager و Secure Web Appliance لم تتأثر بهذه الثغرة. وأشارت Cisco إلى عدم وجود أي حلول مؤقتة، مما يجعل التحديث هو الوسيلة الوحيدة للمعالجة.

أطلقت الشركة إصدارات مصححة تشمل التحديث 15.5.5-0141 لنظام AsyncOS 15.5 والإصدارات الأقدم، والتحديث 16.0.4-302 لنظام AsyncOS 16.0، والتحديث 16.5.0-780 لنظام AsyncOS 16.5. وقد رصدت الشركة هجمات فعلية خلال الشهر الحالي، ووجهت مديري الأنظمة بفحص سجلات البريد للبحث عن أوامر SQL مشبوهة، وتحديداً البحث عن إدخالات تحتوي على نمط COPY...TO PROGRAM في سجلات IronPort Text Mail Logs، مع ضرورة فحص جميع أعضاء المجموعة في حال كان الجهاز يعمل بنظام العنقود.

أفادت Cisco بأنها تواصلت مع عملاء Cisco Secure Email Cloud الذين تم اكتشاف أنشطة ضارة في حساباتهم بشكل فردي، لكنها لم تكشف عن النطاق الكامل للهجمات. وحذرت الشركة من أن المهاجمين الذين يحصلون على صلاحيات الجذر قد يقومون بحذف أو إخفاء آثار الاختراق من الجهاز، لذا نصحت بفحص سجلات الشبكة وجدران الحماية الخارجية للبحث عن عمليات تحميل بيانات إلى عناوين بروتوكول إنترنت خارجية غير مصرح بها أو تحميل من عناوين ضارة.

من جانبها، قامت وكالة CISA بإضافة الثغرة CVE-2026-76461 إلى قائمة الثغرات المعروفة التي تم استغلالها، وألزمت الوكالات الفيدرالية المدنية التنفيذية في الولايات المتحدة بإتمام عملية التحديث في موعد أقصاه 17 سبتمبر 2026.