جزئیات فنی آسیب‌پذیری گیت‌وی امن ایمیل سیسکو
سیسکو در اطلاعیه‌ای اعلام کرد مهاجم با ارسال یک ایمیل دست‌کاری‌شده حاوی دستورات مخرب SQL می‌تواند از طریق دستگاه آسیب‌پذیر، از این آسیب‌پذیری سوءاستفاده کند. مهاجم در صورت موفقیت حمله می‌تواند دستورات دلخواه SQL را اجرا کند و از این طریق، امکان اجرای دستورات دلخواه با سطح دسترسی Root روی سیستم‌عامل زیرین دستگاه را به دست آورد.
این آسیب‌پذیری، گیت‌وی امن ایمیل سیسکو را در هر دو نوع فیزیکی و مجازی، صرف‌نظر از پیکربندی دستگاه، تحت تأثیر قرار می‌دهد. بااین‌حال، سیسکو اعلام کرده است که محصولات دیگری مانند مدیریت امن ایمیل و وب (Secure Email and Web Manager) و تجهیزات امن وب (Secure Web Appliance) تحت تأثیر این آسیب‌پذیری قرار نمی‌گیرند.
نسخه‌های آسیب‌پذیر و پچ‌های منتشرشده
سیسکو برای نسخه‌های مختلف نرم‌افزار AsyncOS مربوط به گیت‌وی امن ایمیل سیسکو، پچ‌های امنیتی لازم را منتشر کرده است. نسخه‌های تحت تأثیر و نسخه‌های دارای پچ به شرح زیر هستند:
| نسخه تحت تأثیر | نسخه دارای پچ |
| 15.5 و نسخه‌های قدیمی‌تر | 15.5.5-0141 |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 |
برای این آسیب‌پذیری هیچ راهکار موقتی (Workaround) ارائه نشده و تنها راهکار توصیه‌شده، به‌روزرسانی به جدیدترین نسخه پشتیبانی‌شده است. بنابراین، سازمان‌هایی که از نسخه‌های آسیب‌پذیر گیت‌وی امن ایمیل سیسکو استفاده می‌کنند، باید در اسرع وقت نرم‌افزار خود را به یکی از نسخه‌های دارای پچ به‌روزرسانی کنند.
بررسی شواهد سوءاستفاده در گیت‌وی امن ایمیل سیسکو
سیسکو اعلام کرده است که در سپتامبر 2026 از سوءاستفاده فعال از این آسیب‌پذیری مطلع شده و برای شناسایی فعالیت‌های مخرب، مجموعه‌ای از شاخص‌های نفوذ (IoC) را در اختیار مدیران سیستم قرار داده است.
برای بررسی احتمال سوءاستفاده از گیت‌وی امن ایمیل سیسکو، مدیران باید اقدامات زیر را انجام دهند:
- فایل لاگ mail_logs را بررسی کنند و به دنبال دستورات SQL مشکوک باشند.
- اگر دستگاه در یک کلاستر (Cluster) قرار دارد، لاگ‌های همه دستگاه‌های این کلاستر را به‌صورت جداگانه بررسی کنند.
- برای شناسایی دستورات SQL مشکوک، دستور cisco-esa> grep -i “COPY.*TO PROGRAM” [IronPort Text Mail Logs Log name – Default: mail_logs] را اجرا کنند. وجود هرگونه ورودی در خروجی این دستور می‌تواند نشانه‌ای از فعالیت مخرب باشد.
سیسکو اعلام کرده است که در برخی دستگاه‌های مشتریان سرویس ابری امنیت ایمیل سیسکو (Cisco Secure Email Cloud)، فعالیت مخرب شناسایی شده و این مشتریان به‌صورت مستقیم از موضوع مطلع شده‌اند. بااین‌حال، این شرکت جزئیاتی درباره تعداد دستگاه‌های تحت تأثیر یا گستره این حملات منتشر نکرده است.
سیسکو هشدار داده است که موفقیت در سوءاستفاده از این آسیب‌پذیری می‌تواند به مهاجمان امکان اجرای دستورات دلخواه با سطح دسترسی Root را بدهد. این سطح از دسترسی به مهاجم اجازه می‌دهد شواهد مربوط به فعالیت مخرب و شاخص‌های نفوذ (IoC) را از روی دستگاه حذف یا پنهان کند.
به همین دلیل، بررسی لاگ‌های خود دستگاه به‌تنهایی کافی نیست. مدیران باید لاگ‌های شبکه و فایروال را نیز بررسی کنند تا هرگونه فعالیت غیرعادی مرتبط با دستگاه شناسایی شود. در این بررسی، مواردی مانند ارسال داده از دستگاه به آدرس‌های IP خارجی بدون دلیل مشخص و همچنین دریافت داده از آدرس‌های IP مخرب باید مورد توجه قرار گیرد.
اگر مهاجم پس از نفوذ به دستگاه، لاگ‌های آن را برای پنهان‌کردن فعالیت خود حذف یا تغییر دهد، بررسی لاگ‌های شبکه و فایروال می‌تواند به شناسایی این فعالیت‌ها کمک کند.
پس از تأیید سوءاستفاده فعال از این آسیب‌پذیری، آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA)، شناسه CVE-2026-76461 را به فهرست KEV اضافه کرد. بر اساس این اقدام، سازمان‌های زیرمجموعه شعبه اجرایی غیرنظامی دولت فدرال آمریکا (FCEB) موظف بودند پچ مربوط به این آسیب‌پذیری را تا 17 سپتامبر 2026 اعمال کنند. با توجه به قرار گرفتن این آسیب‌پذیری در فهرست KEV، سازمان‌هایی که از گیت‌وی امن ایمیل سیسکو استفاده می‌کنند، باید بررسی وضعیت این آسیب‌پذیری و نصب پچ امنیتی مربوط به آن را در اولویت قرار دهند.
حملات گسترده به VPNهای فورتینت
چند روز پیش از افشای این آسیب‌پذیری، شرکت امنیت سایبری Arctic Wolf از شناسایی حملات گسترده برای سرقت و آزمایش اعتبارنامه‌ها علیه تجهیزات VPN فورتینت (Fortinet) متصل به اینترنت خبر داده بود.
این حملات در دو موج مستمر و در شبکه‌های چندین سازمان در آمریکا، بین 26 تا 28 آگوست 2026 شناسایی شدند. در جریان این فعالیت‌ها، ده‌ها میلیون تلاش ناموفق برای احراز هویت ثبت شد.
به گفته پژوهشگران، مهاجمان در این حملات از اطلاعات هویتی مشخصی، از جمله نام‌های کاربری سازمانی، آدرس‌های ایمیل کاری، حساب‌های مرتبط با شرکت‌های وابسته و حساب‌های مدیریتی استفاده کردند. استفاده از این اطلاعات نشان می‌دهد مهاجمان احتمالاً پیش از آغاز حملات، اطلاعات هویتی سازمان‌های هدف را جمع‌آوری کرده یا از قبل به آن‌ها دسترسی داشته‌اند.
در این حملات، نام کارکنان، آدرس‌های ایمیل سازمانی، حساب‌های مرتبط با شرکت‌های وابسته و حساب‌های مدیریتی رایج در سازمان‌های هدف به‌عنوان نام کاربری مورد آزمایش قرار گرفتند. این روش با الگوی معمول حملات Password Spraying (آزمون گسترده رمز عبور) تفاوت داشت؛ زیرا در این نوع حملات معمولاً از نام‌های کاربری عمومی یا تصادفی استفاده می‌شود. استفاده از اطلاعات هویتی مشخص نشان می‌داد مهاجمان احتمالاً این اطلاعات را پیش از شروع حملات شناسایی یا جمع‌آوری کرده بودند.
در یکی از موارد بررسی‌شده، مهاجمان با استفاده از آدرس IP 158.94.211[.]14 با موفقیت وارد VPN فورتینت یک سازمان شدند و پس از آن، فعالیت مخربی در شبکه همان سازمان مشاهده شد. این رخداد نشان می‌دهد که دسترسی موفق به VPN می‌تواند زمینه را برای ادامه فعالیت‌های مخرب مهاجمان در شبکه سازمان فراهم کند.
