أبرز النقاط
- ثغرة CVE-2026-20230 من نوع SSRF تتيح للمهاجمين الحصول على صلاحيات root دون مصادقة
- الهجمات بدأت من عنوان IP واحد وتستخدم حمولات file:// لكتابة ملفات على النظام
- سيسكو أصدرت تحديثات أمنية في 3 يونيو والتصحيح الفوري ضروري
بدأ مهاجمون باستغلال ثغرة أمنية عالية الخطورة في خوادم Cisco Unified Communications Manager، وهي الثغرة المُعرَّفة بـ CVE-2026-20230 التي تتيح للمهاجم غير المُصادَق الحصول على صلاحيات root الكاملة على الجهاز المستهدف. الثغرة من نوع Server-Side Request Forgery (SSRF) وحصلت على تصنيف CVSS يبلغ 8.6 من 10، مما يضعها في خانة الثغرات الحرجة التي تستدعي تصحيحاً فورياً.
ما طبيعة الثغرة وكيف تعمل؟
تكمن المشكلة في آلية التحقق من مدخلات طلبات HTTP داخل مكوّن WebDialer في Cisco Unified CM. يستطيع المهاجم إرسال طلب HTTP مُصمَّم خصيصاً يُجبر التطبيق على كتابة ملفات عشوائية في نظام التشغيل الأساسي باستخدام مسارات file:// URI. وبالتحكم في مسار الملف ومحتواه، يتمكن المهاجم من تنفيذ شيفرة عن بُعد والوصول إلى صلاحيات root.
أوضحت سيسكو في نشرتها الأمنية أن الثغرة تؤثر على كل من Cisco Unified Communications Manager وCisco Unified CM Session Management Edition، وأن الاستغلال الناجح يمكّن المهاجم من كتابة ملفات تُستخدم لاحقاً لرفع الصلاحيات إلى مستوى root.
من يستغل الثغرة وكيف؟
رصدت شركة Defused للاستخبارات الأمنية بداية الاستغلال الفعلي خلال عطلة نهاية الأسبوع الماضي. وأشارت الشركة إلى أن الهجمات تنطلق من عنوان IP واحد، وتستخدم حمولات file:// مُحكمة البناء لإنشاء ملفات على الأجهزة المستهدفة.
اللافت أن الهجمات المرصودة حتى الآن تبدو استطلاعية بطبيعتها، إذ يحاول المهاجمون كتابة ملف نصي باسم /tmp/cve-2026-20230-test.txt لتحديد الأجهزة المعرضة للإصابة. لكن الثغرة قادرة على أكثر من ذلك بكثير: يمكن استغلالها لزرع webshells والسيطرة الكاملة على الخادم.
ما المتطلبات التقنية للاستغلال؟
نشرت شركة SSD Secure التي اكتشفت الثغرة أصلاً تحليلاً تقنياً مفصلاً بعد بدء الاستغلال الفعلي. وكشف الباحثون أن الاستغلال يتطلب معرفة hostname الجهاز المستهدف قبل تنفيذ هجوم كتابة الملفات، لكنهم أثبتوا إمكانية استخراج هذه المعلومة من الجهاز نفسه قبل الهجوم.
- لا تتطلب الثغرة أي مصادقة مسبقة
- يمكن استغلالها عن بُعد عبر طلبات HTTP
- تتيح كتابة ملفات عشوائية في نظام التشغيل
- تؤدي إلى تنفيذ شيفرة عن بُعد وصلاحيات root
ما الإجراءات الواجب اتخاذها الآن؟
أصدرت سيسكو تحديثات أمنية في 3 يونيو 2026، أي قبل ثلاثة أسابيع من بدء الاستغلال الفعلي. المؤسسات التي لم تُطبّق التحديث بعد في وضع حرج، خاصة مع نشر التفاصيل التقنية الكاملة وإثبات مفهوم الاستغلال (PoC).
الجدير بالذكر أن الثغرة لم تُدرج بعد في قائمة CISA للثغرات المستغلة فعلياً (KEV)، لكن إدراجها مسألة وقت بعد تأكيد الاستغلال النشط.
- طبّق تحديثات سيسكو الأمنية فوراً
- راقب السجلات بحثاً عن طلبات HTTP مشبوهة لمكوّن WebDialer
- افحص وجود ملفات غير معتادة في مسار /tmp/
- راجع صلاحيات الوصول لخوادم Unified CM من الإنترنت
رأي Logicity
نشر إثبات مفهوم الاستغلال بعد رصد هجمات نشطة قرار مثير للجدل. من جهة يُسرّع وعي المدافعين، ومن جهة أخرى يُسلّح مهاجمين جدداً. النمط الاستطلاعي الحالي يشير إلى أن موجة الاستغلال الحقيقية لم تبدأ بعد، وأن الأيام القادمة ستشهد تصعيداً ملحوظاً يستهدف المؤسسات المتأخرة في التصحيح.
لماذا تُعد هذه الثغرة خطيرة بشكل خاص؟
تُشغّل أكثر من 350 ألف مؤسسة حول العالم حلول Cisco Unified Communications Manager، وتستحوذ سيسكو على أكثر من 70% من سوق الاتصالات الموحدة للمؤسسات. هذا الانتشار الواسع يجعل أي ثغرة في هذه المنصة هدفاً مغرياً للمهاجمين.
الأخطر أن خوادم الاتصالات الموحدة عادة ما تتمتع بعلاقات ثقة عميقة مع الأنظمة الداخلية، مما يجعلها نقطة انطلاق مثالية للتحرك الجانبي داخل الشبكة بعد الاختراق الأولي.
الأسئلة الشائعة
هل توجد حلول بديلة للتحديث الأمني؟
لا، أكدت سيسكو أنه لا توجد حلول بديلة (workarounds) لهذه الثغرة، والتحديث الأمني هو الحل الوحيد.
كيف أعرف إن كان نظامي مستهدفاً؟
ابحث في سجلات الخادم عن طلبات HTTP غير معتادة لمكوّن WebDialer، وافحص وجود ملفات باسم cve-2026-20230-test.txt في مسار /tmp/.
ما الإصدارات المتأثرة من Cisco Unified CM؟
تؤثر الثغرة على Cisco Unified Communications Manager وCisco Unified CM Session Management Edition. راجع نشرة سيسكو الأمنية للإصدارات المحددة والتحديثات المتاحة.
هل يمكن استغلال الثغرة من الإنترنت مباشرة؟
نعم، الثغرة قابلة للاستغلال عن بُعد دون مصادقة، لذا يجب مراجعة ما إذا كانت خوادم Unified CM مكشوفة للإنترنت.
هل تحتاج مساعدة في التطبيق؟
إذا كنت تدير بنية تحتية تعتمد على Cisco Unified CM وتحتاج دعماً في تقييم تعرضك لهذه الثغرة أو تطبيق التحديثات الأمنية، تواصل مع فريق Logicity للحصول على استشارة متخصصة.
فاطمة الزهراء
كاتبة تقنية متخصصة في الذكاء الاصطناعي
أُنتِج هذا المقال بمساعدة الذكاء الاصطناعي وراجعه فريق التحرير في لوجيسيتي. اعرف المزيد في سياسة التحرير.
