سیستم‌های مدیریت شبکه زیر فشار حملات و آسیب‌پذیری‌های بحرانی
از مجموع 158 اطلاعیه امنیتی بررسی‌شده، 42 آسیب‌پذیری در سطح بحرانی قرار داشتند. همچنین، 8 مورد بالاترین امتیاز ممکن یعنی 10.0 در معیار CVSS را دریافت کرده بودند و 71 آسیب‌پذیری نیز امکان سوءاستفاده از راه دور بدون نیاز به احراز هویت را داشتند.
در 5 اطلاعیه منتشرشده نیز آسیب‌پذیری‌هایی وجود داشت که در نهایت به فهرست KEV آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) اضافه شدند.
اما یکی از نکات مهم گزارش InfraTrust، افزایش آسیب‌پذیری‌های با سطح ریسک بالا در نرم‌افزارهای مدیریتی است. مهاجمان بیش از گذشته سیستم‌های مدیریتی مورد استفاده برای پیکربندی و کنترل تجهیزات شبکه را هدف قرار می‌دهند، زیرا نفوذ به این سامانه‌ها می‌تواند امکان اعمال تغییرات روی تجهیزات تحت مدیریت را برای آن‌ها فراهم کند. به همین دلیل، این پلتفرم‌ها به یکی از اهداف باارزش حملات سایبری تبدیل شده‌اند.
هدف قرار گرفتن سیستم‌های مدیریت زیرساخت
یکی از مهم‌ترین موارد بررسی‌شده در این گزارش، آسیب‌پذیری CVE-2026-20079 در سامانه مرکز مدیریت فایروال امن سیسکو (Cisco Secure Firewall Management Center یا FMC) است. این آسیب‌پذیری از نوع دور زدن احراز هویت (Authentication Bypass) و دارای بالاترین سطح شدت است. سوءاستفاده از این آسیب‌پذیری به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، درخواست‌های HTTP دست‌کاری‌شده‌ای را به رابط وب FMC ارسال کرده و در ادامه، اسکریپت‌ها و دستورات دلخواه خود را با سطح دسترسی Root اجرا کند.
سیسکو در 9 سپتامبر تأیید کرد که CVE-2026-20079 در حملات مورد سوءاستفاده قرار گرفته است. این شرکت در به‌روزرسانی اطلاعیه امنیتی خود اعلام کرد که تیم واکنش به رخدادهای امنیتی محصولات سیسکو از ماه آگوست در جریان این حملات قرار داشته است. CISA نیز در همان روز، این آسیب‌پذیری را به فهرست KEV اضافه کرد.
با این حال، سیسکو پیش‌تر در 29 جولای اطلاعیه امنیتی مربوط به CVE-2026-20079 را به‌روزرسانی کرده بود. این به‌روزرسانی شامل یک هات‌فیکس (Hotfix) و شاخص‌های نفوذ (IOC) بود. برخی از این شاخص‌های نفوذ به حملاتی مربوط می‌شدند که در آن‌ها مهاجمان از آسیب‌پذیری دیگری با شناسه CVE-2026-20316 در سامانه FMC سوءاستفاده کرده بودند.
سیسکو در آن زمان اعلام کرده بود که شواهدی از سوءاستفاده از CVE-2026-20079 در اختیار ندارد. با این حال، شاخص نفوذ /var/tmp/license.tmp در ارتباط با هر دو آسیب‌پذیری شناسایی شده بود. بررسی‌های بعدی نشان داد که مهاجمان در این حملات، از هر دو آسیب‌پذیری به‌صورت زنجیره‌ای سوءاستفاده کرده‌اند.
تیم Cisco Talos این فعالیت‌ها را به سه گروه تهدید با شناسه‌های UAT-12197، UAT-11823 و UAT-11988 نسبت داده است. این گروه‌ها شامل عوامل تهدید تحت حمایت دولت‌ها و گروه‌های باج‌افزاری هستند.
بررسی این حملات نشان می‌دهد مهاجمان از ابزارهای داخلی FMC برای شناسایی محیط استفاده کرده‌اند و سپس ابزارهای تانلینگ (Tunneling) را روی سیستم‌های تحت نفوذ قرار داده‌اند. همچنین آن‌ها اطلاعات احراز هویت را از این سیستم‌ها استخراج کرده و در برخی موارد، در ادامه حمله، بدافزار رمزگذاری‌کننده فایل‌های Qilin را روی سامانه‌های هدف مستقر کرده‌اند.
واحد مقابله با تهدیدات سایبری سوفوس (Sophos Counter Threat Unit) نیز ایمپلنت لینوکسی timezone_check را که از تجهیزات FMC تحت نفوذ به دست آمده بود، بررسی کرد. کارشناسان این واحد، ایمپلنت مذکور را به‌عنوان گونه‌ای از بدافزار Cyclops Blink شناسایی کردند. این بدافزار پیش‌تر به گروه تهدید Sandworm نسبت داده شده بود.
سیسکو در 16 سپتامبر از 6 آسیب‌پذیری دیگر در FMC نیز خبر داد. برخی از این موارد، اتصال sftunnel را تحت تأثیر قرار می‌دهند. FMC از این اتصال برای برقراری ارتباط با فایروال‌های تحت مدیریت خود استفاده می‌کند.
سیستم احراز هویت سیسکو (Cisco Identity Services Engine یا ISE) نیز با چندین آسیب‌پذیری بحرانی مواجه شده است. سیسکو در 16 سپتامبر چند اطلاعیه امنیتی درباره ISE منتشر کرد که در میان آسیب‌پذیری‌های اعلام‌شده، 3 مورد بالاترین امتیاز در معیار CVSS یعنی 10.0 را به خود اختصاص داده بودند.
یکی از این آسیب‌پذیری‌ها با شناسه CVE-2026-76460، از نوع دور زدن احراز هویت (Authentication Bypass) در یک API است. این ضعف امنیتی به مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد دستورات را با سطح دسترسی Root اجرا کند.
CISA نیز در همان روزی که سیسکو این آسیب‌پذیری را اعلام کرد، آن را به فهرست KEV افزود، زیرا این آسیب‌پذیری پیش‌تر در حملات مورد سوءاستفاده قرار گرفته بود.
سیسکو اعلام کرده است که برای این آسیب‌پذیری راهکار موقت (Workaround) ارائه نشده است. با این حال، می‌توان با محدود کردن دسترسی به تجهیزات از طریق فهرست‌های کنترل دسترسی زیرساخت (ACLs)، امکان سوءاستفاده از راه دور را کاهش داد.
InfraTrust تأکید می‌کند که این الگو تنها به محصولات سیسکو محدود نیست. در بازه زمانی بررسی‌شده، آسیب‌پذیری‌هایی در HPE Fabric Composer، EdgeConnect SD-WAN Orchestrator، NVIDIA Unified Fabric Manager، Dell SmartFabric Manager، SonicWall NSM On-Prem و رابط‌های مدیریتی Arista نیز شناسایی شدند. این محصولات در مجموع نمونه‌هایی از پلتفرم‌هایی هستند که برای مدیریت و کنترل تجهیزات شبکه به کار می‌روند و سیستم‌های مدیریت شبکه را به یکی از نقاط حساس زنجیره زیرساخت تبدیل می‌کنند. در گزارش InfraTrust برای توضیح اهمیت این پلتفرم‌ها تأکید شده است که هیچ‌یک از این محصولات، فایروال، سوئیچ، روتر یا فابریک (Fabric) نیستند، بلکه سامانه‌هایی مدیریتی برای پیکربندی و کنترل تجهیزات زیرساختی به شمار می‌روند. این پلتفرم‌ها در واقع کنسول‌های مدیریتی (Management Console) هستند که برای پیکربندی تجهیزات، ذخیره و مدیریت اطلاعات احراز هویت و اعمال تغییرات روی مجموعه‌ای از تجهیزات مورد استفاده قرار می‌گیرند. به همین دلیل، نفوذ به چنین پلتفرم‌هایی می‌تواند امکان اعمال تغییرات از یک نقطه متمرکز روی بخش‌های مختلف زیرساخت را برای مهاجمان فراهم کند.
سایر آسیب‌پذیری‌های بحرانی سیستم‌های مدیریت شبکه
گزارش InfraTrust به دو آسیب‌پذیری در سامانه SMA 1000 سونیک‌وال (SonicWall SMA 1000) نیز اشاره می‌کند که به‌صورت فعال در حملات مورد سوءاستفاده قرار گرفته‌اند. مهاجمان با سوءاستفاده زنجیره‌ای از این دو آسیب‌پذیری، در نهایت امکان اجرای کد از راه دور (RCE) را به دست آورده‌اند.
آسیب‌پذیری CVE-2026-83548 با امتیاز 10.0 در معیار CVSS، از نوع جعل درخواست سمت سرور (SSRF) است و قابلیت Appliance Work Place را تحت تأثیر قرار می‌دهد. برای سوءاستفاده از این آسیب‌پذیری، نیازی به احراز هویت وجود ندارد. آسیب‌پذیری CVE-2026-83549 نیز از نوع تزریق دستور سیستم‌عامل (OS Command Injection) است و کنسول مدیریت دستگاه را تحت تأثیر قرار می‌دهد.
بر اساس گزارش InfraTrust، مهاجمان می‌توانند این دو آسیب‌پذیری را به‌صورت زنجیره‌ای مورد سوءاستفاده قرار دهند و بدون نیاز به احراز هویت، کد دلخواه را از راه دور(RCE) اجرا کنند.
CISA هر دو آسیب‌پذیری را در 2 سپتامبر به فهرست KEV اضافه کرد. سونیک‌وال نیز تأیید کرده است که این آسیب‌پذیری‌ها پیش‌تر در حملات مورد سوءاستفاده قرار گرفته‌اند.
شرکت سونیک‌وال از مشتریان خود خواسته است آخرین هات‌فیکس را روی تجهیزات نصب کرده و آن‌ها را از نظر وجود هرگونه نشانه نفوذ بررسی کنند. همچنین این شرکت توصیه کرده است در تجهیزات فیزیکی، به‌جای پاک‌سازی سیستم آلوده، سیستم‌عامل دستگاه مجدداً نصب شود. در محیط‌های مجازی نیز توصیه شده است یک نمونه جدید ایجاد کرده و سیستم روی آن مستقر شود.
در ادامه، شرکت چک‌پوینت (Check Point) از 3 آسیب‌پذیری بحرانی خبر داده است که از راه دور قابل سوءاستفاده هستند و برای حمله به احراز هویت نیاز ندارند. این موارد نشان می‌دهند که سیستم‌های مدیریت شبکه و سایر پلتفرم‌های مدیریتی که برای دسترسی و کنترل تجهیزات امنیتی استفاده می‌شوند، باید در اولویت دریافت و نصب پچ‌های امنیتی قرار گیرند.
یکی از این موارد، CVE-2026-85102 است که از نوع دور زدن احراز هویت بوده و می‌تواند منجر به اجرای کد از راه دور (RCE) در قابلیت‌های دسترسی از راه دور و شبکه خصوصی مجازی سایت‌به‌سایت (Site-to-Site VPN) شود. آسیب‌پذیری CVE-2026-85103 نیز از نوع خرابی حافظه (Memory Corruption) است و می‌تواند امکان اجرای کد از راه دور را فراهم کند.
مرکز ملی امنیت سایبری هلند (NCSC) از مدیران سیستم‌ها خواسته است به‌روزرسانی‌های امنیتی مربوط به این آسیب‌پذیری‌ها را هرچه سریع‌تر نصب کنند و هشدار داده است که این آسیب‌پذیری‌ها ممکن است مورد سوءاستفاده قرار گیرند.
سومین آسیب‌پذیری با شناسه CVE-2026-91843، فرآیند ورود بدون احراز هویت را تحت تأثیر قرار می‌دهد و می‌تواند به مهاجمان اجازه دهد روی چندین سرور مدیریتی و ثبت لاگ (Logging) چک‌پوینت، کد را با سطح دسترسی Root اجرا کنند.
Arista نیز در 9 سپتامبر، 34 اطلاعیه امنیتی منتشر کرد که در میان آن‌ها، دو آسیب‌پذیری با شدت بحرانی و امتیاز 10 در معیار CVSS قرار داشتند. این آسیب‌پذیری‌ها می‌توانند به مهاجمان اجازه دهند بدون نیاز به احراز هویت، کد دلخواه را از راه دور روی سیستم‌های مجهز به سیستم‌عامل شبکه EOS اجرا کنند.
آسیب‌پذیری CVE-2026-73453 سرویس P4Runtime را روی پورت TCP 9559 تحت تأثیر قرار می‌دهد، در حالی که CVE-2026-73456 به سرویس gNPSI مربوط می‌شود. هر دو قابلیت به‌صورت پیش‌فرض غیرفعال هستند و Arista اعلام کرده است که تاکنون شواهدی از سوءاستفاده از این آسیب‌پذیری‌ها در حملات مشاهده نشده است.
همچنین گزارش InfraTrust به آسیب‌پذیری CVE-2026-20212 در سوئیچ‌های نکسوس 9000 سیسکو (Cisco Nexus 9000) اشاره می‌کند که در رده آسیب‌پذیری‌های بحرانی قرار دارد. این آسیب‌پذیری به مهاجمان بدون نیاز به احراز هویت اجازه می‌دهد از طریق دو پورت دیباگ (Debug Port) که در تجهیزات تحت تأثیر به‌صورت پیش‌فرض در دسترس هستند، کد دلخواه را با سطح دسترسی Root اجرا کنند.
یک آسیب‌پذیری لینوکس و 19 اطلاعیه امنیتی
گزارش سپتامبر InfraTrust نشان می‌دهد که آسیب‌پذیری‌های موجود در کامپوننت‌های شخص ثالث چگونه می‌توانند فرآیند اعمال پچ روی محصولات مختلف زیرساختی را با چالش مواجه کنند.
CVE-2026-31431 یکی از نمونه‌های این وضعیت است. این آسیب‌پذیری افزایش سطح دسترسی (Privilege Escalation) در کرنل لینوکس که با نام CopyFail شناخته می‌شود، در ماه می به فهرست KEV سازمان CISA اضافه شد و اکنون در 19 اطلاعیه امنیتی از سوی 6 شرکت توسعه‌دهنده مختلف گزارش شده است.
Arista، F5، Juniper، Extreme Networks و HPE Aruba نیز آسیب‌پذیری این کامپوننت را در محصولات خود گزارش و برای آن اطلاعیه امنیتی منتشر کرده‌اند. در این میان، Dell به‌تنهایی 14 اطلاعیه امنیتی برای محصولاتی از جمله VxRail، PowerFlex، ThinOS، PowerProtect و Networking OS10 منتشر کرده است.
این وضعیت نشان می‌دهد که یک آسیب‌پذیری در یک کامپوننت مشترک می‌تواند طیف گسترده‌ای از محصولات را تحت تأثیر قرار دهد و شرکت‌های توسعه‌دهنده را به انتشار اطلاعیه‌های امنیتی و ارائه پچ‌های جداگانه برای هر محصول وادار کند. از آنجا که چنین کامپوننت‌هایی ممکن است در سیستم‌های مدیریت شبکه نیز به کار رفته باشند، شناسایی و رفع آسیب‌پذیری آن‌ها می‌تواند به پچ کردن جداگانه این سیستم‌ها نیز نیاز داشته باشد.
InfraTrust توضیح داده است که یک آسیب‌پذیری در کامپوننت اصلی می‌تواند برای محصولات مختلف، 19 اقدام جداگانه برای اصلاح و رفع آسیب‌پذیری ایجاد کند که هرکدام طبق زمان‌بندی شرکت توسعه‌دهنده و با شماره اطلاعیه امنیتی متفاوت پیگیری می‌شوند.
فریم‌ور همچنان یکی از نقاط ضعف زیرساخت است
همچنین گزارش InfraTrust به یک آسیب‌پذیری اشاره کرده که امکان دور زدن بوت امن (Secure Boot) در شل UEFI (Shell) را فراهم می‌کند. این آسیب‌پذیری را پژوهشگران Eclypsium شناسایی کرده‌اند و جزئیات آن نیز از طریق مرکز هماهنگی CERT منتشر شده است.
مهاجمی که به تنظیمات بوت UEFI دسترسی داشته باشد، می‌تواند شل UEFI تعبیه‌شده را اجرا کند؛ محیطی که به‌طور معمول در فرآیند راه‌اندازی سیستم امکان اجرای آن وجود ندارد. مهاجم پس از دسترسی به این محیط می‌تواند تنظیمات بوت امن را در حافظه تغییر دهد و در نهایت، پیش از بارگذاری سیستم‌عامل، کد بدون امضای دیجیتال (Unsigned Code) را اجرا کند.
این آسیب‌پذیری می‌تواند محصولات مختلف زیرساختی، از جمله سیستم‌های مدیریت شبکه،را تحت تأثیر قرار دهد. مهاجم با سوءاستفاده از آن می‌تواند پیش از بارگذاری سیستم‌عامل، امکان اجرای کد را در سطح فریم‌ور (Firmware) به دست آورد.
در پی افشای این آسیب‌پذیری، سه شناسه CVE برای محصولات و پلتفرم‌های تحت تأثیر ثبت شد:
- CVE-2026-20293 مربوط به محصولات سیسکو (Cisco)
- CVE-2026-33197 مربوط به سیستم‌های مبتنی بر AMI Aptio
- CVE-2026-6485 مربوط به محصولات Insyde
شرکت‌های AMI، Dell، Cisco، Lenovo و Supermicro نیز با انتشار پچ‌های امنیتی برای محصولات تحت تأثیر، اقدامات لازم برای رفع این آسیب‌پذیری را آغاز کرده‌اند.
