ثغرة CVE‑2026‑20223 في Cisco Secure Workload: خطأ في واجهة API بدون مصادقة يصل بالخطورة إلى CVSS 10.0

هذه الواجهات يفترض أن تكون مخصصة للعمليات الداخلية، لكنها كانت تفتقر إلى آليات تحقق كافية من المصادقة والصلاحيات.

نتيجة لذلك، يستطيع مهاجم إرسال طلب API مُعدّ خصيصًا إلى نقطة نهاية ضعيفة، فيتم تنفيذ الطلب كما لو كان صادرًا من مستخدم مخول.

هذا قد يسمح للمهاجم بـ:

• الوصول إلى بيانات الموقع الحساسة
• تعديل إعدادات النظام
• تنفيذ عمليات بصلاحيات Site Admin

الأخطر أن الهجوم لا يتطلب أي بيانات اعتماد أو وصول مسبق للنظام.

كيف يعمل الاستغلال عبر REST API بدون مصادقة؟

تنشأ المشكلة عندما يتم الوصول إلى بعض نقاط نهاية REST API دون تطبيق تحقق صارم من الهوية والصلاحيات.

سيناريو الهجوم عادة يكون كالتالي:

1. يحدد المهاجم نقطة نهاية REST API يمكن الوصول إليها في النظام.
2. يرسل طلب API مُصممًا لتجاوز التحقق المتوقع.
3. بسبب ضعف التحقق، يتعامل النظام مع الطلب كما لو كان صادرًا من مستخدم موثوق.
4. يحصل المهاجم على إمكانية الوصول إلى وظائف أو بيانات محمية.

بعد ذلك يمكن للمهاجم قراءة معلومات حساسة أو إجراء تغييرات في إعدادات المنصة.

لماذا حصلت الثغرة على تقييم CVSS 10.0؟

تقييم 10.0 في نظام CVSS يعني أن الثغرة تُعد من أخطر أنواع الثغرات الممكنة.

العوامل التي أدت إلى هذا التقييم تشمل:

• قابلة للاستغلال عبر الشبكة: يمكن تنفيذ الهجوم عن بُعد.
• لا تتطلب مصادقة: لا حاجة لحساب مستخدم.
• تعقيد منخفض: يكفي إرسال طلب API مُصمم.
• تأثير مرتفع: إمكانية الوصول إلى بيانات حساسة أو تعديل إعدادات النظام.

كما أشارت بعض التحليلات إلى أن الثغرة قد تسمح بالوصول إلى موارد تخص مستأجرين مختلفين داخل النظام (Cross‑Tenant)، وهو ما يؤدي إلى حالة تُعرف في CVSS باسم "Scope Changed".

هذا يعني أن الاختراق قد يتجاوز حدود المكون المتأثر ليصل إلى نطاق أمني آخر داخل النظام، ما يزيد من خطورة التأثير المحتمل.

الإصدارات المتأثرة والتحديثات المطلوبة

أصدرت Cisco تحديثات لإصلاح الثغرة في برنامج Cisco Secure Workload Cluster Software.

الإصدارات التي تحتوي على الإصلاح تشمل:

• Cisco Secure Workload 4.0.3.17
• Cisco Secure Workload 3.10.8.3

أما الأنظمة التي تعمل بالإصدار 3.9 أو أقدم فتُعتبر عرضة للخطر ويجب ترقيتها إلى إصدار مدعوم يحتوي على الإصلاح الأمني.

لم تذكر Cisco وجود حلول بديلة موثوقة، لذلك يُعد تحديث البرنامج هو الإجراء الوقائي الأساسي.

كيف يندرج هذا الكشف ضمن مشهد ثغرات Cisco في 2026؟

جاء الكشف عن CVE‑2026‑20223 ضمن سلسلة من التنبيهات الأمنية التي أصدرتها Cisco خلال عام 2026 عبر عدة منتجات.

من أبرزها:

• Cisco Prime Infrastructure (CVE‑2026‑20189) – ثغرة تسريب معلومات بسبب ضعف التحقق من الصلاحيات.
• Cisco Unity Connection (CVE‑2026‑20034 وCVE‑2026‑20035) – ثغرات قد تسمح بتنفيذ تعليمات برمجية عن بُعد أو هجمات SSRF.
• Cisco Identity Services Engine – ISE (CVE‑2026‑20193 وCVE‑2026‑20195) – ثغرات قد تسمح بتجاوز آليات التفويض.
• Cisco Nexus Dashboard (CVE‑2026‑20042) – مشكلة في REST API قد تكشف معلومات إعدادات حساسة.

تشير هذه الحالات إلى اتجاه واضح في أمن البرمجيات الحديثة: الاعتماد الكبير على واجهات API لإدارة البنية التحتية. وعندما يتم تنفيذ المصادقة أو التفويض بشكل غير صحيح في هذه الواجهات، يمكن أن تتحول إلى نقطة دخول خطيرة للمهاجمين.

الخلاصة

توضح الثغرة CVE‑2026‑20223 مدى خطورة ضعف التحكم في الوصول داخل واجهات API الداخلية، خاصة في الأنظمة التي تدير بنى تحتية كبيرة أو متعددة المستأجرين.

على المؤسسات التي تستخدم Cisco Secure Workload اتخاذ خطوات عاجلة تشمل:

• تحديد الأنظمة التي تعمل بإصدارات متأثرة.
• الترقية إلى الإصدارات المصححة مثل 3.10.8.3 أو 4.0.3.17.
• مراجعة سياسات الوصول إلى واجهات API في منصات إدارة الشبكات.

حتى الواجهات المصممة للاستخدام الداخلي يجب أن تطبق مصادقة صارمة وتحققًا دقيقًا من الصلاحيات في كل نقطة نهاية لمنع مثل هذه المخاطر الأمنية.