التكنولوجيا
إضافة OpenSSH وGPUStack وFreeSWITCH إلى كتالوج CISA للثغرات المستغلة: تجاوز كلمة المرور وتنفيذ الأوامر تحت الاستغلال النشط
أضافت CISA أربع ثغرات مستغلة فعلياً إلى كتالوج KEV يوم 9 نوفمبر، في OpenSSH وGPUStack وFreeSWITCH وIBM Aspera Faspex، مع موعد نهائي للترقيع في الأنظمة الفيدرالية يوم 12 نوفمبر.
أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) يوم الاثنين 9 نوفمبر 2026 أربع ثغرات مستغلة بالفعل في الهجمات إلى كتالوجها للثغرات المعروفة المستغلة (KEV). وثلاث منها تفتح الباب للدخول إلى الخوادم دون كلمة مرور، أو تسمح بتنفيذ الأوامر عن بُعد، وهي: CVE-2026-123158 في OpenSSH التابع لمشروع OpenBSD، وCVE-2026-102895 في GPUStack، وCVE-2026-116779 في FreeSWITCH التابع لشركة SignalWire. أما الرابعة، وهي CVE-2026-123218 في IBM Aspera Faspex، فتسمح لمستخدم يملك حساباً بتجاوز فحوص التفويض عبر رسالة مصممة خصيصاً، والحصول على صلاحيات مرتفعة.
موعد الترقيع هو الخميس 12 نوفمبر، أي بعد ثلاثة أيام من الإدراج، وينطبق على الإدخالات الأربعة كلها. ويُلزم هذا الموعد الوكالات التنفيذية الفيدرالية المدنية (FCEB) وحدها، بموجب التوجيه BOD 26-04، الذي يطلب المعالجة السريعة للثغرات في الأنظمة المكشوفة على الإنترنت حين قد تمنح المهاجم سيطرة كاملة، وفحص ما إذا كان النظام قد اختُرق قبل الترقيع (الفرز الجنائي الأولي). وبالنسبة إلى كل الإضافات، يشير الكتالوج إلى أنه لا يُعرف ما إذا كانت قد استُخدمت في هجمات الفدية. وتحث CISA كل المؤسسات على إعطاء الأولوية لإدخالات KEV.
OpenSSH على لينكس المبني على musl
بالنسبة إلى OpenSSH، يتحدث الكتالوج عن قيمة إرجاع غير متوقعة تسمح بتجاوز المصادقة على لينكس. وأصدر مطورو OpenSSH الإصدار 10.6p2 يوم 5 نوفمبر، متضمناً إصلاحاً أمنياً حرجاً للأنظمة اللينكسية التي تستخدم مكتبة musl libc، حيث يعمل sshd دون دعم PAM. ويقع السبب خارج sshd، لكن الثغرة تُستغل عبره. وتوضح Alpine Linux أنه بدون PAM يتحقق sshd من كلمات المرور باستخدام الدالة crypt(). وتُرجع تطبيقات musl الرمز «*» كإشارة خطأ عندما تتجاوز كلمة المرور 256 بايت، والرمز نفسه مخزّن في الحسابات التي لا تملك كلمة مرور، مثل حساب root في الصورة الأساسية لـ Alpine، فيمر التحقق. ويرسل المهاجم كلمة مرور بطول 257 إلى 1,024 بايت، فيسجّل الدخول من المحاولة الأولى. ويجب أن يكون الإعداد PasswordAuthentication مفعلاً، وهو الافتراضي، وأن يوجد حساب محلي آخر بكلمة مرور مشفّرة من نوع $5$ أو $6$. والإصدارات من Alpine 3.16 إلى 3.24، وفرع edge، متأثرة بالثغرة. وكإجراء تخفيف، يُوصى بالترقية وإعادة تشغيل sshd، أو مؤقتاً بضبط PasswordAuthentication no. ولا تعتبر Alpine الأنظمة التي تفعّل PAM (UsePAM yes) أو التي تكون حساباتها مقفلة متأثرة. وعند نشر إعلان Alpine لم يكن قد خُصص رقم CVE بعد، وجاء الرقم CVE-2026-123158 من كتالوج KEV.
GPUStack وFreeSWITCH
أما GPUStack، وهي منصة مفتوحة المصدر لإدارة مجموعات وحدات معالجة الرسوميات، فتقدم المشكلة الأكثر تعدداً للأوجه. ويوضح الإشعار الأمني للمشروع (بدرجة 9.8 من 10) أن كل الإصدارات قبل 2.2.0 تعامل، حين يكون الإعداد force_auth_localhost معطلاً كما هو افتراضياً، أي طلب يبدو صادراً من الجهاز نفسه (loopback) بوصفه طلباً من مدير النظام المدمج. ولكي يبدو الطلب الخارجي محلياً، يكفي وجود وكيل عكسي (reverse proxy) على الجهاز نفسه، أو الترويسة المزوّرة X-GPUStack-Real-IP: 127.0.0.1. وهكذا يستطيع المهاجم تغيير المستخدمين والنماذج، وإنشاء مفاتيح API دائمة بصلاحيات المدير، وقراءة بيانات اعتماد العقد العاملة وأسرار مزوّدي السحابة، وتنفيذ شيفرة على العقد عبر نقطة النهاية POST /v2/inference-backends/from-yaml. ويذكر الإشعار استغلالاً على تثبيت يعمل بالإصدار 2.1.1، حيث أنشأ المهاجمون واجهات خلفية مخصصة فتحت صدفات عكسية (reverse shells). والحل هو الإصدار 2.2.0، أو مؤقتاً ضبط force_auth_localhost=true وإزالة الترويسة عند حافة الشبكة.
وفي FreeSWITCH، وهو برنامج الاتصالات الصوتية عبر الإنترنت مفتوح المصدر التابع لشركة SignalWire، تكفي رسالة SIP MESSAGE واحدة لتنفيذ أمر على الخادم. فالدالة التي تعالج الرسائل الواردة تقسم اسم المستلم عند الرمز «+» وترسل الرسالة إلى «بروتوكول الدردشة» المقابل. ويمرر بروتوكول «api» المحتوى إلى آلية تنفيذ أوامر API في FreeSWITCH. والإصدارات حتى 1.11.2 شاملةً متأثرة بالإعداد الافتراضي، وتُصنَّف المشكلة حرجة (9.8). ويشير الإشعار، الذي نُشر في 28 أكتوبر، إلى أن الاستغلال قد رُصد فعلياً، ويصف الآثار بأنها تنفيذ أوامر نظام التشغيل بصلاحيات عملية FreeSWITCH، وكشف الإعدادات وبيانات الاعتماد، والسيطرة الكاملة على المكالمات. ويسد الإصدار 1.11.3 المسار افتراضياً عبر المعامل الجديد enable-chat-api-proto. ومن لا يستطيع الترقية يمكنه ضبط enable-chat=false في الملفات الشخصية التي لا تحتاج إلى رسائل الدردشة.
وتأتي الإدراجات الجديدة بعد أيام من ثغرتي Apple وSonicWall وزوج ثغرات Ivanti Connect Secure اللتين أضافتهما CISA إلى الكتالوج. وبالنسبة إلى المسؤولين، فإن التسلسل الذي يفرضه التوجيه BOD 26-04 وإرشادات KEV واضح: تحديد الأنظمة المعرضة للإنترنت، ثم الترقية، وحيث لا يكون ذلك ممكناً، تطبيق الإجراءات المؤقتة التي يوصي بها المورّدون، أو التوقف عن استخدام المنتج.
