ثغرة أمنية حرجة في أجهزة سيسكو: هجوم مستمر من مجموعة تهديدات مستمرة

كشفت شركة سيسكو عن تعرضها لهجمات مستمرة تستغل ثغرة أمنية حرجة من الدرجة الأولى (CVE-2026-20182) في أجهزة Catalyst SD-WAN Controller وManager. وأكدت الشركة أن هذه الثغرة تسمح للمهاجمين بالحصول على صلاحيات إدارية كاملة من خلال تجاوز آلية المصادقة.

وأوضحت سيسكو في نشرة تحذيرية يوم الخميس أن المجموعة المسؤولة عن هذه الهجمات محدودة العدد، لكنها مرتبطة بعدة ثغرات سابقة تم الكشف عنها في أنظمة جدران الحماية وأنظمة SD-WAN التابعة للشركة. وأضافت أن الثغرة، التي حصلت على تقييم CVSS 10، تعمل مثل «المفتاح الرئيسي» الذي يمنح المهاجمين وصولاً غير محدود إلى النظام.

«يمكن للمهاجم تقديم نفسه إلى النظام كموجه شبكي موثوق، وإذا قبل النظام هذا الادعاء دون التحقق منه بشكل صحيح، يمكنه الحصول على أعلى مستوى من الصلاحيات الإدارية».
— دوغلاس ماك كي، مدير ذكاء الثغرات في رابيد7

تم اكتشاف الثغرة والإبلاغ عنها إلى سيسكو في 9 مارس/آذار من قبل باحثي رابيد7، بينما أفادت سيسكو بأنها أصبحت على علم بالاستغلال المحدود للثغرة في وقت سابق من هذا الشهر. وأصدرت سيسكو تصحيحًا للثغرة يوم الخميس، كما أضافت وكالة الأمن السيبراني والبنية التحتية (CISA) الثغرة إلى قائمتها المعروفة للاستغلال النشط.

ولم تشرح سيسكو ما حدث خلال الفجوة الزمنية التي استمرت شهرين بين اكتشاف الثغرة وإصدار التصحيح. ومع ذلك، فإن الكشف والتحذير من الباحثين يمثل تحديًا إضافيًا لعملاء سيسكو الذين يواجهون موجة من الثغرات التي يتم استغلالها بنشاط في برامج حافة الشبكة التابعة للشركة منذ أواخر فبراير/شباط.

مجموعة UAT-8616 وراء الهجمات

أشارت بحوث سيسكو تالوس إلى أن الهجمات الأخيرة التي تستغل الثغرة الجديدة تنسب إلى مجموعة UAT-8616، وهي نفس المجموعة المسؤولة عن استغلال ثغرتين أخريين منفصلتين في برامج حافة الشبكة التابعة لسيسكو لمدة ثلاث سنوات على الأقل قبل اكتشاف النشاط والإبلاغ عنه في فبراير/شباط.

ووصف الباحثون استغلال الثغرة الجديدة بأنه مستمر، لكن سيسكو لم تجب على أسئلة حول أصول أو دوافع مجموعة UAT-8616. وقال المتحدث باسم الشركة: «نوصي بشدة العملاء بتطبيق إصدارات البرامج المصححة المتاحة واتباع الإرشادات المقدمة في نشرات سيسكو advisories ومدونة سيسكو تالوس».

تحذيرات من استغلال واسع النطاق

حذرت بحوث سيسكو تالوس من أن مجموعة UAT-8616، إلى جانب 10 مجموعات تهديد أخرى على الأقل، قد قامت بسلسلة من الهجمات واستغلت بنشاط ثلاث ثغرات في بنية سيسكو Catalyst SD-WAN غير المصححة. وكانت سيسكو قد كشفت سابقًا عن هذه الثغرات وأصدرت تصحيحات لها في فبراير/شباط، بما في ذلك CVE-2026-20122 وCVE-2026-20128 وCVE-2026-20133.

وأوضح رابيد7 أن الثغرة الحرجة الأخيرة المتعلقة بتجاوز المصادقة تم اكتشافها أثناء بحثهم في CVE-2026-20127، وهي ثغرة سابقة تم تحديدها من قبل تحالف Five Eyes وتم تأكيد استغلالها بنشاط من قبل مجموعة UAT-8616 في أواخر عام 2025. وأشار الباحثون إلى أن السلطات وسيسكو انتظرتا ما لا يقل عن شهرين للكشف عن الثغرة وإصدار التصحيح، مما يوفر إرشادات تخفيف طارئة.