الأمن التقني

Cisco Talos يربط استغلال ثغرة SD-WAN بشبكة Volt Typhoon

أفاد فريق Cisco Talos بأن فاعلاً تهديدياً متطوراً استغل ثغرة حرجة في أنظمة Cisco SD-WAN لنشر برمجية خبيثة تهدف إلى سرقة مفاتيح التشفير، في نشاط مرتبط بنية تحتية تشترك مع شبكة Volt Typhoon.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 29 أكتوبر 2026 · آخر تحديث: 29 أكتوبر 2026 · 4 دقائق قراءة

Cisco Talos يربط استغلال ثغرة SD-WAN بشبكة Volt Typhoon — الصورة: SecurityWeek

استغلال ثغرة حرجة في أنظمة Cisco SD-WAN

أعلن فريق Cisco Talos الأمني عن رصد حملة استغلال نشطة لثغرة حرجة في أنظمة Cisco SD-WAN، حيث استغل فاعل تهديدي متطور هذه الثغرة لنشر برمجية خبيثة مصممة خصيصاً لسرقة مفاتيح التشفير. تشير التقارير إلى أن هذا النشاط يمتد عبر بنية تحتية تتداخل بشكل كبير مع شبكة سرية تُعرف باسم Silent Train، والتي تستخدمها مجموعة Volt Typhoon الصينية لاستهداف المؤسسات الأمريكية. وقد كشفت Lumen عن تفاصيل هذه الشبكة في بحث نشرته في نفس يوم تقرير Talos، مما يسلط الضوء على تعقيد التهديدات الحالية التي تواجه البنية التحتية للشبكات.

تفاصيل الثغرة CVE-2026-20127 وآلية الاستغلال

الثغرة المعروفة برقم CVE-2026-20127 تحمل تصنيفاً حرجاً بدرجة CVSS تبلغ 10، وقد تم الكشف عنها رسمياً في فبراير 2026. تتيح هذه الثغرة للمهاجمين الوصول عن بُعد إلى مكونات متحكمات SD-WAN دون الحاجة إلى أي بيانات اعتماد أو كلمات مرور، مما يسمح لهم بتجاوز مصادقة التشارك (Peering Authentication) والحصول على صلاحيات إدارية كاملة. وتحذر Cisco من أن هذا المستوى من الوصول يمكن استغلاله لتعديل إعدادات شبكة SD-WAN بشكل جذري، مما يهدد استقرار الشبكة وسلامة البيانات المنقولة عبرها.

برمجية KeyDrift الخبيثة وأهدافها

نشر المهاجمون برمجية خبيثة أطلق عليها Talos اسم KeyDrift على متحكمات SD-WAN المستهدفة. صُممت هذه البرمجية لمنح مشغليها وصولاً دائماً ومستقراً إلى أنظمة التحكم، مع آلية تلقائية لسحب مواد التشفير (Keying Material). يتم حقن البرمجية في عمليات مستوى التحكم (Control-Plane) الشرعية، مما يمنحها القدرة على الوصول إلى حركة البيانات بعد فك تشفيرها. وتتكون البرمجية من وحدات رئيسية، أبرزها PolyFlame التي تعمل كباب خلفي (Backdoor) وقناة وسيطة لتوجيه الأوامر إلى مضيفات أخرى، و LittleFilch التي تتولى جمع مفاتيح التشفير التي يعتقد Talos أنها تحمي حركة البيانات في مستوى البيانات (Data-Plane).

الفاعل UAT-11473 وعلاقته بـ Volt Typhoon

نسب فريق Talos الهجمات إلى فاعل تهديدي متطور يحمل الاسم الرمزي UAT-11473، واصفاً إياه بجماعة متقدمة تقنياً تستهدف قطاعات الفضاء والخدمات الفضائية، والتكنولوجيا الدفاعية والفضائية، وأبحاث السياسات. على الرغم من أن Talos وصف النشاط بأنه تاريخي دون تحديد توقيت دقيق له، إلا أنه أكد بثقة عالية أن البنية التحتية لـ UAT-11473 تتداخل بشكل ملحوظ مع شبكة Silent Train السرية التابعة لـ Volt Typhoon. ومع ذلك، لم يصرّح Talos صراحةً بأن المجموعتين هما نفس الكيان، مما يترك مجالاً لتفسيرات حول طبيعة العلاقة بينهما، سواء كانت شراكة أو استخداماً مشتركاً للبنية التحتية.

شبكة Silent Train وحملات الاستغلال السابقة

راقب مختبر Black Lotus Labs التابع لشركة Lumen شبكة Silent Train منذ أواخر عام 2023، وكشف عن آلية عملها المعقدة التي تعتمد على توجيه حركة مرور المهاجمين عبر سلاسل من أجهزة التوجيه الصغيرة، وأجهزة إنترنت الأشياء (IoT)، وأنظمة الشركات المخترقة. تتميز هذه الشبكة بتبديل دوري لهذه الأجهزة وتنظيف آثارها بعد كل جلسة هجومية، مما يجعل تتبعها صعباً. ساعد هذا الرصد في إخطار مئات الضحايا وكشف عن أربع حملات مؤكدة لاستغلال ثغرات يوم الصفر (Zero-Day) استهدفت أنظمة Versa Director و N-able N-central و Cisco Catalyst SD-WAN و VeloCloud Orchestrator، بالإضافة إلى حملة محتملة ضد Quest KACE.

الضحايا والأهداف الجيوسياسية

تشير بيانات Lumen إلى أن Volt Typhoon كانت تستغل ثغرة CVE-2026-20127 منذ أواخر عام 2025، واستمرت في ذلك لفترة طويلة بعد الكشف عنها من قبل Cisco. ركزت المجموعة على منصات الإدارة وأنظمة مستوى التحكم التي تمنح وصولاً واسعاً عبر المنظمة بأكملها. شملت قائمة الضحايا شركات الاتصالات، والجهات الحكومية، ومقاولي الدفاع، ومزودي الاتصالات الحرجة والفضائية، ومقدمي الخدمات المُدارة (MSPs)، والجامعات ذات الروابط العسكرية، ومشغلي البنية التحتية الحرجة. وكانت ولايات هاواي وكاليفورنيا وتكساس الأكثر استهدافاً، مما يشير إلى محاولة لتثبيت أقدام في أنظمة ستكون حاسمة خلال أزمة جيوسياسية، لا سيما تلك المتعلقة بمنطقة المحيطين الهندي والهادئ.

التجسس والاستعداد للأزمات

على الرغم من أن تقرير Lumen لم يذكر برمجية KeyDrift أو الفاعل UAT-11473 بشكل مباشر، إلا أن الباحث مايك هوركا من Black Lotus Labs أوضح أن المهاجمين قاموا أيضاً بسرقة وثائق تتعلق بالعمليات العسكرية وهياكل الشبكات. ويرى هوركا أن النشاط يجمع بين الاستعداد المسبق (Pre-positioning) والتجسس، مما يعكس استراتيجية شاملة تهدف إلى جمع المعلومات الاستخباراتية وضمان القدرة على التأثير أو التخريب في حال نشوب صراع. وتؤكد هذه التطورات على ضرورة تعزيز أمن منصات التحكم في الشبكات، حيث أصبحت هذه الأنظمة هدفاً رئيسياً للتهديدات السيبرانية المتقدمة.