من يحمي الحارس؟ ثغرة بعلامة 10 من 10 في سيسكو ISE تفتح شبكتك بلا كلمة مرور

من يحمي الحارس؟ ثغرة بعلامة 10 من 10 في سيسكو ISE تفتح شبكتك بلا كلمة مرور

في 16 سبتمبر 2026 نشرت سيسكو تحديثا أمنيا للثغرة CVE-2026-76460 في منتجيها Identity Services Engine و ISE Passive Identity Connector. الدرجة القياسية للخطورة 10 من 10، وهي أعلى ما يمنحه مقياس CVSS، وسبب الثغرة نقص في ضوابط المصادقة على واجهة برمجية واحدة، والنتيجة أن مهاجما بعيدا وغير مصرح له يستطيع بإرسال طلب معد خصيصا أن يصل إلى واجهة الإدارة. وتقول سيسكو صراحة إن فريقها الأمني على علم باستغلال فعلي لهذه الثغرة، ولا توجد حلول مؤقتة.

الاسم التقني لا يعني الكثير لصاحب منشأة. المعنى التشغيلي يعني كل شيء: الجهاز المصاب ليس سيرفر ملفات ولا طابعة شبكية، بل الجهاز الذي تسأله بقية الشبكة عن هوية كل من يحاول الاتصال. هو الذي يقرر أن هذا الحاسب موظف مصرح له، وأن هذا الجوال زائر يوضع في شبكة الضيوف، وأن هذا المورد يصل إلى نظام واحد فقط. حين تسقط سلطة اتخاذ هذا القرار، لا تسقط خدمة واحدة، بل تسقط القاعدة التي تقف عليها كل الخدمات.

ماذا نعرف بالتحديد

هذه الوقائع من نشرة سيسكو الأمنية نفسها ومن كتالوج الثغرات المستغلة لدى وكالة الأمن السيبراني والبنية التحتية الأمريكية، لا من قراءات صحفية:

• المنتجات المتأثرة: سيسكو Identity Services Engine و ISE Passive Identity Connector، الإصدارات من 3.1 إلى 3.5.
• الإصدارات المصححة: 3.1 التصحيح 12، و 3.2 التصحيح 11، و 3.3 التصحيح 12، و 3.4 التصحيح 7، و 3.5 التصحيح 4.
• شرط الاستغلال: لا شيء. مهاجم غير مصرح له وعن بعد، بطلب واحد معد على واجهة برمجية، دون حساب ودون كلمة مرور.
• الحالة: مستغلة فعليا بحسب فريق سيسكو الأمني، وأضيفت إلى كتالوج الثغرات المستغلة المعروفة في 16 سبتمبر 2026 بموعد معالجة 19 سبتمبر 2026 للجهات الفيدرالية الأمريكية.
• الحل المؤقت: لا يوجد. التخفيف الوحيد الذي تذكره سيسكو هو تقييد الوصول إلى الجهاز بقوائم تحكم على مستوى البنية التحتية، ريثما يطبق التصحيح.

ثلاث كلمات في هذه القائمة تستحق التوقف: عن بعد، وغير مصرح له، وبلا حل مؤقت. كل ثغرة تفقد إحدى هذه الصفات تمنحك مساحة للتنفس. هذه لا تمنحك شيئا غير التصحيح أو العزل.

لماذا أجهزة الهوية أخطر من أي سيرفر آخر لديك

في أي شبكة مؤسسية، الأنظمة لا تتساوى في أثر اختراقها. لو اخترق سيرفر التقارير خسرت تقارير. لو اخترق الجهاز الذي يدير الهوية والدخول، فأنت لم تخسر جهازا، بل خسرت معنى كلمة صلاحية في شبكتك كلها.

من يحصل على إدارة نظام كهذا يستطيع نظريا تعديل السياسات نفسها، أي أن يصنع لنفسه هوية مصرح لها بدل أن يحاول تجاوز الحماية. وهذا هو الفرق الجوهري: الهجوم لم يعد اختراقا يظهر كشيء غير طبيعي في السجلات، بل صار دخولا يبدو مشروعا تماما لأنه مر من نفس البوابة التي تثق بها. وهذه أصعب حالة على الاكتشاف، لأن أدوات المراقبة مبنية على أن ما يوافق عليه نظام الهوية هو المصرح به.

أضف إلى ذلك أن هذا النوع من الأجهزة يقع عادة في منتصف الشبكة ويتصل بكل شرائحها، لأن وظيفته تتطلب ذلك. فأي تمكن منه هو تمكن من طريق مفتوح إلى ما بعده. ولهذا تصنف أجهزة الهوية والدخول والمصادقة في أعلى قائمة الأصول الحرجة، لا في قائمة معدات الشبكة العادية. وقد تناولنا هذا المنطق نفسه من زاوية مختلفة في مقالنا عن نقطة الفشل الواحدة التي لا يراها أحد.

الدرس ليس في سيسكو

من السهل قراءة الخبر كخبر عن منتج واحد من شركة واحدة، وهذه قراءة مريحة لكنها غير مفيدة. سيسكو نشرت التصحيح وأعلنت الحالة بوضوح، وهذا هو السلوك المتوقع من مورد ناضج. الأجهزة الأمنية من كل الموردين تحوي ثغرات، لأنها برمجيات، وستنشر نشرات مشابهة لاحقا.

السؤال الذي يجب أن تخرج به من الخبر ليس هل أستخدم سيسكو، بل: هل أعلم ما هي الأجهزة والأنظمة التي تصادق مستخدمي شبكتي، وما إصداراتها الحالية، ومن مسؤول عن ترقيعها، وكم وقتا يستغرق ذلك فعليا. المنشأة التي تستطيع الإجابة عن هذه الأسئلة الأربعة في نصف ساعة تكون معالجة هذه الثغرة عندها مهمة مسائية. والمنشأة التي لا تعرف أصلا من يدير الجهاز تحتاج أسبوعا للوصول إلى نقطة البداية، وهذا الأسبوع كله وقت مكشوف.

وهذا بالضبط ما تطلبه الضوابط الأساسية للأمن السيبراني الصادرة من الهيئة الوطنية للأمن السيبراني في مجالها الخاص بإدارة الثغرات: تقييم دوري للثغرات واكتشافها، وتصنيفها حسب خطورتها، ومعالجتها بحسب التصنيف والمخاطر المرتبطة، والاشتراك في مصادر موثوقة لأخبار الثغرات الجديدة، وإدارة للتحديثات والرقع مع التحقق من سلامتها وفاعليتها في بيئة غير إنتاجية قبل تطبيقها. الضابط الذي يفشل عادة ليس الترقيع نفسه، بل الاشتراك في مصدر موثوق: منشأة لا تصلها نشرة المورد تكتشف الأمر من خبر صحفي بعد أيام، أو لا تكتشفه أبدا.

نظرة أوريجامي

نحن نبني أنظمة أعمال لا نبيع أجهزة شبكات، ومع ذلك نرى أثر هذه المسألة في كل مشروع تكامل. في كل مرة نربط نظاما جديدا بشبكة عميل، يظهر السؤال نفسه: من يمنح الصلاحيات هنا، وأين سجل هذا القرار. والملاحظة المتكررة أن الجزء الهش ليس التطبيق الجديد ولا حمايته، بل الطبقة التي يفترض التطبيق أنها صحيحة ولا يفحصها أحد لأنها قديمة وتعمل بهدوء منذ سنوات.

ولهذا نتعامل مع أي مكون في مسار الهوية على أنه جزء من أمن التطبيق لا خارجه: يوثق في قائمة الأصول باسمه وإصداره ومالكه، وتوضع له نافذة صيانة معلومة مقدما بدل أن تصنع نافذة على عجل يوم النشرة الأمنية، وتقيد واجهته الإدارية على شبكة إدارة منفصلة لا على الشبكة العامة. هذه ثلاث إجراءات لا تحتاج ميزانية جديدة، وهي فرق بين منشأة تقرأ نشرة سيسكو اليوم فتعرف ما عليها فعله، ومنشأة تقرأها فتبدأ بالسؤال عن كلمة مرور الجهاز. وهذا جزء من طريقة عملنا في خدماتنا كلها.

خمسة أسئلة تجيب عنها هذا الأسبوع

هذه ليست قائمة أمنية شاملة، بل خمس إجابات تكشف جاهزيتك للحالة القادمة، لأن حالة قادمة ستأتي.

• إن كنت تستخدم سيسكو ISE أو ISE-PIC: ما إصدارك الحالي، وهل هو ضمن النطاق من 3.1 إلى 3.5؟ إن كان كذلك فالإصدارات المصححة أعلاه، والمعالجة عاجلة لا مجدولة. وإلى أن تطبق، قيد الوصول إلى الجهاز بقوائم تحكم كما تنص النشرة.
• قائمة الأصول: هل لديك قائمة مكتوبة بأجهزة وأنظمة المصادقة والدخول عندك مع إصداراتها؟ إن كانت الإجابة في ذهن شخص واحد فليست قائمة.
• مصدر الأخبار: من في منشأتك مشترك في النشرات الأمنية لكل مورد تستخدمه؟ هذا اشتراك مجاني يستغرق دقائق، وغيابه هو غالبا سبب التأخر لا نقص الأدوات.
• زمن الترقيع: كم ساعة أو يوما مضى بين آخر نشرة حرجة تلقيتها وتطبيقك للتصحيح؟ سجل الرقم. هو مؤشرك الحقيقي، وهو أصدق من أي خطة مكتوبة.
• الواجهات الإدارية: هل لوحات إدارة أجهزتك الحرجة قابلة للوصول من أي مكان في الشبكة، أم من شبكة إدارة محددة فقط؟ تقييد الوصول لا يلغي الثغرة لكنه يحول هجوما عالميا محتملا إلى هجوم يحتاج موطئ قدم داخليا أولا.

الخلاصة عملية جدا: الثغرات ليست حادثا استثنائيا يفاجئ منشأتك، بل حدث متكرر يمكنك التدرب عليه. الفرق بين منشأة تصمد وأخرى تتعطل ليس في عدم وجود الثغرة عندها، بل في الساعات التي تمر بين نشر التصحيح وتطبيقه.

مصادر

• نشرة سيسكو الأمنية — الثغرة CVE-2026-76460 بدرجة 10.0، والمنتجات والإصدارات المتأثرة والمصححة، وإقرار الاستغلال الفعلي، وعدم وجود حل مؤقت، بتاريخ 16 سبتمبر 2026.
• كتالوج الثغرات المستغلة المعروفة — إضافة الثغرة في 16 سبتمبر 2026 بموعد معالجة 19 سبتمبر 2026.
• الهيئة الوطنية للأمن السيبراني — الضوابط الأساسية للأمن السيبراني ومتطلبات إدارة الثغرات وإدارة التحديثات والرقع.