التكنولوجيا
CISA تضيف ست ثغرات مستغلة فعليا إلى كتالوجها، بينها ثغرات في Barracuda وChromium وOutlook
أضافت CISA ست ثغرات مستغلة فعليا إلى كتالوج الثغرات المعروفة المستغلة يوم 10 نوفمبر، ولثغرتين تخصان Barracuda مهلة ثلاثة أيام تنتهي في 13 نوفمبر أمام الوكالات الاتحادية المدنية الأمريكية.
أضافت الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية (CISA) ست ثغرات مستغلة فعليا إلى كتالوج الثغرات المعروفة المستغلة (KEV) يوم الثلاثاء 10 نوفمبر 2026. تخص اثنتان منها منتجات Barracuda Networks، ولهما مهلة للمعالجة لا تتجاوز ثلاثة أيام، حتى الجمعة 13 نوفمبر. أما الأربع الأخرى، وهي الثغرات في Chromium من Google وOutlook من Microsoft وCisco BroadWorks وWebtop Media Transcoder من Openwave، فموعدها الثلاثاء 24 نوفمبر.
تلزم المهلة الوكالات الاتحادية غير العسكرية في السلطة التنفيذية الأمريكية فقط (FCEB)، وذلك بموجب التوجيه BOD 26-04 الخاص بترتيب أولويات تحديثات الأمان بحسب المخاطر. وفيما يخص الإدخالين المتعلقين بشركة Barracuda، يطلب الكتالوج أيضا إجراء فرز جنائي، أي فحص الأجهزة بحثا عن آثار الاختراق. وبالنسبة إلى الإدخالات الست جميعها، سُجّل استخدامها في هجمات برامج الفدية بأنه «غير معروف».
ثنائي Barracuda
أكثر الحالات إلحاحا زوج من الثغرات تتكامل معا في سلسلة هجوم واحدة. الثغرة CVE-2026-116606 تخص بوابة أمن البريد الإلكتروني Barracuda (ESG)، وهي جهاز حماية البريد الإلكتروني. وهي ثغرة في تجاوز المصادقة: يستطيع مهاجم لا يملك حسابا أن يستدعي وظيفة استيراد الإعدادات، فيستعيد ملف نسخ احتياطي معدّا خصيصا، ويغيّر الإعدادات العامة للجهاز دون ترخيص. وتصنّف Barracuda الثغرة بدرجة 9.3 من 10، وتوضح أن الهجوم لا يتطلب مصادقة، لكنه يتطلب الوصول إلى واجهة الإدارة الخاصة بالجهاز.
أما الثغرة الثانية، CVE-2026-111560، فهي حقن أوامر في نظام التشغيل عبر حقل المنطقة الزمنية. يستطيع مهاجم يملك صلاحيات المسؤول أن يُدرج أوامر تُنفَّذ بصلاحيات الجذر (root) عند معالجة القيمة الخبيثة لاحقا. وتصنَّف الثغرة بدرجة 8.6، وتؤثر، إلى جانب البوابة ESG، في خمسة منتجات أخرى للشركة: Load Balancer ADC وMessage Archiver وWAF Control Center وWeb Application Firewall وWeb Security Gateway. وعند استغلال الثغرتين معا، يحصل المهاجم على وصول بصلاحيات الجذر إلى الجهاز.
كُشفت الثغرتان في 2 نوفمبر، وأصدرت Barracuda حزمة إصلاح منفصلة لكل منتج. وفي الاثنين 9 نوفمبر، أضافت الشركة إلى إعلانها أنها رصدت نشاطا لاستغلال الثغرات يمس عددا قليلا من المؤسسات. وتوصي بقصر الوصول إلى واجهات الإدارة على الشبكات الداخلية الموثوقة.
Chromium وOutlook وما تبقّى
في Chromium، وهو الأساس الذي تقوم عليه متصفحات Chrome وEdge وOpera، الثغرة CVE-2026-125350 هي خلل في الذاكرة من نوع استخدام بعد التحرير (use-after-free) في مكوّن XML. ويمكن لصفحة ويب معدّة خصيصا أن تؤدي إلى تنفيذ أكواد داخل بيئة العزل (sandbox) الخاصة بالمتصفح. وقالت Google إنها على علم بأن ثغرة الاستغلال تُستخدم في هجمات فعلية. والإصلاح موجود في الإصدار 157.0.8103.50 لنظام Linux، وفي 157.0.8103.50/.51 لنظامي Windows وMac، وقد صدر يوم الاثنين 9 نوفمبر مع ثمانية إصلاحات أخرى.
في Outlook، الثغرة CVE-2026-124194 ثغرة انتحال هوية درجتها 6.5، وقد سجّلتها Microsoft كمستغلة فعليا في نشرتها الصادرة في 10 نوفمبر. يرسل المهاجم ملف رسالة معدّا خصيصا ويقنع المستخدم بفتحه، فيتصل Outlook بعد ذلك بموقع على الشبكة يسيطر عليه المهاجم، دون التحذير المعتاد من المحتوى الخارجي. وهذا يحمل خطر تسريب تجزئة NTLMv2 الخاصة بالمستخدم، التي يمكن للمهاجم استخدامها للمصادقة بوصفه ذلك المستخدم.
الإدخالان الآخران أقل شهرة. الثغرة CVE-2026-20320 في Cisco BroadWorks، وهي منصة الاتصالات لمزودي خدمات الهاتف، من نوع XXE (حقن كيان XML خارجي) في خدمة OCI-P: يستطيع مهاجم بعيد دون مصادقة أن يستخدم رسالة XML معدّة خصيصا لقراءة ملفات تحتوي على إعدادات حساسة. وكشفت Cisco عنها في 19 أغسطس، ويأتي الإصلاح مع الإصدار RI.2026.07. أما الثغرة CVE-2026-111793 في Openwave Webtop Media Transcoder، فتتيح لمستخدم موثّق يتجاوز بيئة Webmail أن يحوّل أنواع مستندات لم تكن مقصودة. درجتها 4.3، والعلاج هو الترقية إلى أحدث إصدار مدعوم من Media Server 2.0.
تأتي الثغرات الست بعد إضافات OpenSSH وGPUStack وFreeSWITCH التي أضافها الكتالوج في اليوم السابق. وأضاف الكتالوج خلال الأسابيع الأخيرة ثغرات تخص Apple وSonicWall SonicOS SSLVPN.
