تطلب سيسكو مرة أخرى من العملاء التحرك بسرعة. حثّت الشركة "بشدة" على ترقيع ثغرة حرجة أخرى على مستوى الجذر في بوابة البريد الإلكتروني الآمن (SEG) الخاصة بها، وقد تم استغلال العيب بالفعل في هجمات يوم الصفر من قبل جهات فاعلة مجهولة. وفقًا لموقع The Register، الذي نقل عن متحدث باسم سيسكو، فإن كلًا من سيسكو ووكالة CISA تطلقان الإنذار. بالنسبة لأي مؤسسة توجّه البريد عبر هذه الأجهزة، فإن ثغرة يوم الصفر في بوابة البريد الإلكتروني الآمن من سيسكو تستحق الاهتمام اليوم، وليس في نافذة الصيانة التالية.
التقرير المصدر موجز، لذا يلتزم هذا المقال بما هو مؤكد: العيب حرج، ويمنح تحكمًا على مستوى الجذر، وتم استغلاله قبل وجود إصلاح، ولم يتم تحديد المهاجمين.
ما يعنيه "Make-Me-Root" بالنسبة لبوابة البريد الإلكتروني
"Make-me-root" هو اختصار لثغرة تتيح للمهاجم الحصول على صلاحيات الجذر، وهي أعلى مستوى من الامتيازات على نظام قائم على لينكس. الوصول إلى الجذر يعني أن المهاجم لم يعد مقيدًا بتطبيق أو حساب واحد. يمكنه عادةً قراءة الملفات وتغييرها، وتعديل الإعدادات، وتثبيت أدوات مستمرة، والتلاعب بالبرمجيات التي يعمل عليها الجهاز.
على محطة عمل نموذجية، هذا أمر خطير. على جهاز أمني، الأمر أسوأ، لأن الجهاز موثوق بحكم التصميم. تفترض الأنظمة الأخرى في الشبكة أن البوابة تقوم بعملها، لذا يمكن لبوابة مخترقة أن تقوّض بهدوء الحماية ذاتها التي يُفترض أن توفرها.
لماذا تُعد بوابات البريد الإلكتروني أهدافًا عالية القيمة
تقع بوابة البريد الإلكتروني الآمن في مسار البريد الوارد والصادر. تستخدمها الشركات لتصفية البريد العشوائي والتصيد الاحتيالي والبرمجيات الخبيثة قبل وصول الرسائل إلى الموظفين. هذا الموقع يجعلها جاذبة لعدة أسباب:
- الرؤية في تدفق البريد. الجهاز الذي يفحص الرسائل قد يتعامل مع محتوى حساس ومرفقات وبيانات وصفية حول من يتحدث مع من.
- التعرض للإنترنت. يجب أن تقبل البوابات اتصالات من الخارج، مما يمنح المهاجمين مكانًا للاستطلاع.
- مراقبة محدودة. غالبًا لا تشغّل هذه الأجهزة أدوات كشف نقطة النهاية التي تحمي الحواسيب المحمولة والخوادم، لذا قد يمر الاختراق دون ملاحظة.
- موقع شبكي موثوق. يمكن أن يكون التواجد على البوابة نقطة انطلاق نحو الأنظمة الداخلية.
ليست هذه المرة الأولى التي تكون فيها بوابة البريد الإلكتروني من سيسكو في دائرة الضوء. تُظهر تغطيتنا السابقة لـالترقيع الطارئ من سيسكو لثغرة وصول الجذر في البوابة وتحذير ثغرة يوم الصفر في بوابة البريد الإلكتروني المستغلة فعليًا نمطًا من المشكلات الخطيرة في نفس خط المنتجات. يستهدف المهاجمون أيضًا أدوات أمان البريد لدى بائعين آخرين، كما يظهر في ثغرة يوم الصفر في FortiMail المستغلة في هجمات حقيقية، مما يشير إلى أن هذه الفئة ككل تجذب الانتباه.
ما تخبر به سيسكو وCISA العملاء لفعله
الرسالة من كل من سيسكو وCISA متسقة: رقّع. كانت صياغة سيسكو أنها تحث العملاء "بشدة" على التحديث، ومشاركة CISA تشير إلى أن العيب يُعتبر خطرًا حقيقيًا على المؤسسات، بما في ذلك شبكات القطاع العام. نظرًا لأن الاستغلال يحدث بالفعل، فهذا ليس خطرًا نظريًا يمكن أن ينتظر مراجعة ربع سنوية.
لا يصف المصدر عدد العملاء المتأثرين أو من يقف وراء الهجمات، ولن نخمّن. ما هو واضح أن مهاجمين مجهولين كانت لديهم أفضلية البداية، مما يعني أن المؤسسات يجب أن تتعامل مع الترقيع كخطوة أولى وليس نهاية العملية.
كيف تتحقق من حالة الترقيع وترصد التعرض المحتمل للبريد الإلكتروني
إذا كنت تدير أجهزة Cisco SEG، سواء كانت مادية أو افتراضية، فاتبع قائمة تحقق قصيرة:
- تأكد من إصدارك. قارن البرمجيات قيد التشغيل بالإصدارات المُصلحة المدرجة في الاستشارة الرسمية من سيسكو.
- طبّق التحديث. أعط الأولوية للبوابات المتصلة بالإنترنت أولًا.
- تحقق من كتالوج CISA KEV. تُحدد قائمة الثغرات المستغلة المعروفة من CISA توقعات المعالجة وهي مرجع مفيد حتى لو لم تكن وكالة فيدرالية.
- راجع الوصول. افحص من يمكنه الوصول إلى واجهات إدارة الجهاز وقيّدها بالشبكات الموثوقة.
- ابحث عن علامات الاختراق. راجع السجلات بحثًا عن عمليات تسجيل دخول غير متوقعة، أو تغييرات في الإعدادات، أو حسابات جديدة، أو اتصالات صادرة غير عادية. إذا بدا أي شيء غير طبيعي، اتبع خطة الاستجابة للحوادث واتصل بدعم سيسكو.
- فكّر في تعرض البريد. إذا كانت البوابة قد اختُرقت، افترض أن الرسائل التي مرت عبرها ربما تم الاطلاع عليها، وقيّم المعلومات الحساسة التي قد يشملها ذلك.
للحصول على خلفية عن حملة سابقة ضد نفس عائلة المنتجات، راجع تقريرنا عن CVE-2025-20393 وثغرة يوم الصفر في بوابة البريد الإلكتروني من سيسكو تحت الهجوم.
ما يعنيه هذا بالنسبة لك
إذا كنت تدير تقنية المعلومات أو الأمن لمؤسسة تستخدم Cisco SEG، فإن الإجراء مباشر: تحقق من مستوى الترقيع الآن وراجع الجهاز بحثًا عن علامات التلاعب. إذا كنت موظفًا أو عميلًا لمثل هذه المؤسسة، فلا يمكنك ترقيع أي شيء بنفسك، لكن يمكنك البقاء متيقظًا. كن حذرًا مع الرسائل غير المتوقعة حتى عندما تبدو صادرة من جهات اتصال موثوقة، وانتبه لما ترسله عبر البريد الإلكتروني، لأن اختراق البوابة يمكن أن يكشف محتوى الرسائل.
الأفراد الذين لا يشغّلون هذه الأجهزة ليسوا متأثرين مباشرة بهذا العيب تحديدًا. ومع ذلك، فهذا تذكير بأن البريد الإلكتروني نادرًا ما يكون خاصًا بشكل افتراضي، وأن البنية التحتية التي تنقله يمكن أن تفشل.
النقاط الرئيسية
- ثغرة يوم الصفر في بوابة البريد الإلكتروني الآمن من سيسكو حرجة، وتمنح تحكمًا على مستوى الجذر، وتم استغلالها بالفعل.
- تحث كل من سيسكو وCISA على الترقيع الفوري.
- رقّع أولًا، ثم حقق: افحص السجلات وضوابط الوصول والإعدادات بحثًا عن علامات الاختراق.
- تحقق من كتالوج CISA KEV واستشارة سيسكو للحصول على تفاصيل موثوقة.
- راجع التغطية السابقة المرتبطة أعلاه للحصول على سياق حول كيفية تطور الثغرات المتكررة في خط المنتجات هذا.
إذا كانت مؤسستك تعتمد على Cisco SEG، فتحقق من حالة الترقيع اليوم وتأكد مما تتطلبه منك إرشادات CISA.
