الأمن التقني

استغلال ثغرة في تحكمات Cisco SD-WAN لنشر برمجيات KeyDrift

كشفت تقارير أمنية حديثة عن قيام مجموعة تهديد متطورة باستغلال ثغرة أمنية في أنظمة سيسكو لنشر إطار عمل خبيث يهدف إلى الحفاظ على وصول مستدام وسرقة بيانات حساسة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 30 أكتوبر 2026 · آخر تحديث: 30 أكتوبر 2026 · 4 دقائق قراءة

استغلال ثغرة في تحكمات Cisco SD-WAN لنشر برمجيات KeyDrift — الصورة: BleepingComputer

تفاصيل استغلال ثغرة وحدات تحكم Cisco SD-WAN

تم رصد مجموعة تهديد مستمر متقدمة (APT) جديدة تُعرف باسم UAT-11473 وهي تستغل ثغرة أمنية تحمل الرمز CVE-2026-20127، وهي ثغرة لتجاوز المصادقة في وحدات تحكم Cisco Catalyst SD-WAN Controllers، بهدف نشر إطار عمل خبيث مخصص يُطلق عليه اسم KeyDrift. وقد صُممت هذه الثغرة ذات الخطورة القصوى، التي قامت سيسكو بإصدار تصحيح لها في فبراير 2026، لتسمح للمهاجمين البعيدين بالحصول على صلاحيات مميزة على أنظمة التحكم والإدارة وإضافة أجهزة متصلة غير مصرح بها. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.

أشارت الأبحاث المتاحة إلى أن مجموعة UAT-8616 قامت باستغلال هذه الثغرة كثغرة يوم الصفر منذ عام 2023 على الأقل، في حين ربطت تقارير أخرى حديثة عمليات الاستغلال هذه بمجموعة التهديد السيبراني المدعومة من دولة الصين والمعروفة باسم Volt Typhoon، وذلك وفقاً لما ورد في تقارير شركة BleepingComputer التقنية المتخصصة.

ارتباط الهجمات بشبكات الوصول الخفي

وفقاً للباحثين في فريق Cisco Talos الأمني، فإن مجموعة التهديد UAT-11473 تظهر تقاطعاً ملحوظاً مع شبكة الوصول الخفي المنسوبة إلى مجموعة Volt Typhoon والمعروفة باسم إطار عمل Silent Train، على الرغم من عدم وجود روابط قاطعة مؤكدة تماماً بين الطرفين حتى الآن. وقد كشف تقارير صدرت مؤخراً عن شركة Lumen أن إطار عمل Silent Train قد مكّن الجهات الخبيثة من التهرب من آليات الاكتشاف أثناء تنفيذ هجمات تعتمد على ثغرات يوم الصفر، مما يبرز تعقيد هذه العمليات الهجينة.

استهدفت الهجمات التي رصدتها الفرق الأمنية قطاعات حساسة تشمل خدمات الفضاء والأقمار الصناعية، وتقنيات الدفاع والطيران، فضلاً عن منظمات الأبحاث السياسية والستراتيجية. وقد جرى تنفيذ هذه العمليات عبر نشر برمجيات KeyDrift، وهي منصة برمجية خبيثة مصممة خصيصاً للعمل بكفاءة عالية ضمن مثيلات وحدات تحكم سيسكو الخاصة بشبكات SD-WAN، بغرض ترسيخ الوجود بعيد المدى واستخراج البيانات السرية بشكل آلي.

آلية عمل برمجيات KeyDrift الخبيثة

تعتمد برمجيات KeyDrift على بنية متطورة تهدف إلى ضمان الاستدامة داخل الشبكات المخترقة، حيث أشارت التحليلات التقنية إلى أنها قادرة على العمل ضمن عمليات مستوى التحكم لشبكات SD-WAN، واعتراض حركة المرور المفكوكة الشفرة، واستخراج بيانات جلسات التحكم ومواد المفاتيح الخاصة بمستوى البيانات، ثم تجميعها وإرسالها بطرق مشفرة لا تثير الشبهات.

يتألف هذا الإطار الخبيث من مكونين رئيسيين هما PolyFlame وLittleFilch، وكلاهما يخضع لعمليات تطوير مستمرة تتضمن تقنيات حديثة لمقاومة أدوات التنقيح وتغيير هوية العمليات. يعمل المكون الأول داخل عمليات النظام المشروعة مستخدماً نصوص بدء تشغيل معدلة، بينما يتخصص المكون الثاني في اعتراض جلسات التحكم واختراق وظائف القراءة الآمنة لفحص رسائل مستوى التحكم بعد فك تشفيرها داخل وحدة التحكم المستهدفة.

مكونات PolyFlame وLittleFilch التقنية

يؤدي المكون المسمى PolyFlame مهام متعددة تشمل تنفيذ الأوامر عبر أداة تحكم مستوحاة من بيئات قذائف الأوامر المصغرة، ورفع وتحميل الملفات، إضافة إلى إعادة توجيه الاتصالات بين خوادم القيادة والسيطرة التابعة للمهاجمين والأجهزة المتصلة المختلفة. كما يعتمد على حقن الشفرات البرمجية لضمان استمرار عمله بصمت داخل الأنظمة المصابة.

أما مكون LittleFilch، فهو مسؤول عن استخراج معرفات بروتوكول الإنترنت وحقول البيانات الحساسة المرتبطة بمفاتيح تشفير حركة بيانات بروتوكول الأمان IPsec، وتحديداً بمعايير تشفير AES-256 لعقد الحواف المحددة سلفاً. يقوم هذا المكون بحماية البيانات التي يتم جمعها باستخدام خوارزميات تشفير RSA، وحفظها مؤقتاً في مسارات النظام المحلية قبل إرسالها عبر بروتوكول خفيف إلى المهاجمين.

التوصيات الأمنية وإرشادات المعالجة

في ظل تزايد هذه الهجمات المعقدة التي تستهدف البنية التحتية الحرجة لشبكات المؤسسات، توصي شركة سيسكو مسؤولي الأنظمة والشبكات بضرورة تطبيق التحديثات والإصلاحات الأمنية المتاحة للثغرة المكتشفة، فضلاً عن مراجعة أدلة التحصين المخصصة لعمليات نشر أنظمة Catalyst SD-WAN التي توفرها الشركة عبر قنواتها الرسمية لتقليل مساحة الهجوم.

تأتي هذه التحذيرات ضمن سلسلة من التنبيهات الأمنية المتتالية التي تصدرها الشركات التقنية والجهات التنظيمية حول العالم، لحث المؤسسات على سد الثغرات النشطة وتأمين شبكات الاتصالات ضد محاولات الاختراق المستمرة التي تستهدف البنى التحتية الحساسة.