فهرس نقاط الضعف المستغلة (KEV) التابع لوكالة الأمن السيبراني والبنية التحتية (CISA) يتوسع مرة أخرى: ثغرة، نمط واحد، وتوجيه يتطلب أكثر من مجرد التصحيح

وسعت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) يوم الأربعاء فهرس نقاط الضعف المستغلة المعروف لديها بإدخالين: ثغرة في المصادقة غير الصحيحة في Check Point SmartConsole (CVE-2026-16232) وثغرة في إلغاء تسلسل البيانات غير الموثوقة في Microsoft SharePoint (CVE-2026-50522). كلاهما قيد الاستغلال النشط، على الرغم من أن CISA أو البائع لم ينشرا تفاصيل فنية أو إسنادًا للهجمات حتى الآن.

تستهدف ثغرة Check Point تطبيق SmartConsole، وهي واجهة الإدارة الموحدة لجدران الحماية وبوابات الأمان. تعني المصادقة غير الصحيحة أن المهاجم غير الموثوق يمكنه الوصول إلى المستوى الإداري لبيئة Check Point، مما قد يسمح له بإعادة تكوين القواعد، أو استخراج السجلات، أو التحرك بشكل أعمق داخل الشبكة. يقع SmartConsole في تقاطع مميز، لذا فإن الاستغلال الناجح هنا ليس مجرد اختراق للشبكة، بل هو وصول إداري يمنح لشخص لا ينبغي له الحصول عليه.

ثغرة SharePoint هي مشكلة إلغاء تسلسل البيانات غير الموثوقة، وهي فئة من الثغرات التي ابتليت بها المنصة تاريخيًا. هذه ليست المرة الأولى التي تضع فيها CISA علامة على ثغرة في SharePoint هذا العام: في يونيو 2026، أضافت الوكالة ثغرة CVE-2026-45659، وهي ثغرة في تنفيذ التعليمات البرمجية عن بُعد في نفس المنتج، إلى فهرس KEV الخاص بها بعد استغلال مؤكد مرتبط بمجموعة التهديد Storm-2603 وجهة ثانية غير محددة. تشير ثغرة CVE-2026-50522 الجديدة إلى أن المهاجمين ما زالوا مهتمين بـ SharePoint كناقل هجوم، أو أن الجولة السابقة من التصحيحات لم تغلق كل الأبواب.

يقع كلا الإدخالين ضمن إطار التوجيه التشغيلي الملزم 26-04، الذي نشرته CISA في وقت سابق من هذا العام ليحل محل التفويضات القديمة القائمة على الوقت في التوجيهات السابقة. يتطلب BOD 26-04 من وكالات الفرع التنفيذي المدني الفيدرالي معاملة الثغرات المدرجة في فهرس KEV على الأصول المعرضة للجمهور كفئة طارئة، ولكن مع twist: يأمر التوجيه الوكالات بتحديد أولويات المعالجة بناءً على المخاطر، وتحديدًا الثغرات التي تمنح سيطرة كاملة على الأصل بعد الاستغلال، مع تأجيل الثغرات ذات المخاطر المنخفضة. والأهم من ذلك، أنه يضيف فحصًا جنائيًا قبل التصحيح: يجب على الوكالات تحديد ما إذا كان المهاجمون قد اخترقوا النظام بالفعل قبل تطبيق الإصلاح.

هذا تحول كبير. ركزت التوجيهات السابقة على سرعة التصحيح (مدى السرعة، مقاسة بالأيام). يضيف BOD 26-04 التزامًا بالكشف (هل تم اختراقك بالفعل؟). بالنسبة للمؤسسات التي كانت تتعامل مع تنبيهات KEV كمحفز للتصحيح بدلاً من محفز للاستجابة للحوادث، فإن التوقع الجديد يغير سير العمل التشغيلي.

لا تتوفر أدوات استغلال عامة لثغرتي CVE-2026-16232 أو CVE-2026-50522 حتى وقت كتابة هذا التقرير، لكن الاستغلال النشط يعني وجود أدوات إثبات المفهوم أو أدوات خاصة بالاستغلال في البيئة الحقيقية بشكل خاص. لدى الوكالات الفيدرالية نافذة معالجة قياسية، عادةً خلال 7 أيام للإدخالات الحرجة في KEV، للتصحيح وإجراء فحص ما قبل التصحيح المطلوب. بالنسبة للمؤسسات غير الفيدرالية، تقدم CISA نفس التوصية دون الالتزام القانوني: تعامل مع إدخالات KEV كأمر عاجل، وقم بإجراء تقييم للاختراق، وصحح، وافترض أن الفجوة بين الاستغلال والكشف مهمة.

الخلاصة الأوسع ليست فقط أن ثغرتين إضافيتين دخلتا الفهرس. بل هي أن الحكومة الفيدرالية تميز الآن رسميًا بين إدارة الثغرات الأمنية (تتبع CVEs) وإدارة الاختراقات (تأكيد السلامة قبل التصحيح). عدد قليل من فرق القطاع الخاص لديها حاليًا الأدوات أو العمليات اللازمة للأخير. بالنسبة لمسؤولي أمن المعلومات الذين يراقبون هذا المجال، فإن BOD 26-04 هو نموذج، وليس لائحة تنطبق فقط على الحكومة. من المتوقع أن ينتقل هذا التوقع إلى الأسفل.

يجب على المؤسسات التي تستخدم Check Point SmartConsole فصل الوصول الإداري فورًا، ومراجعة السجلات بحثًا عن نشاط غير موثوق، وتطبيق أي تصحيحات يصدرها Check Point. يجب على مسؤولي SharePoint التعامل مع ثغرة CVE-2026-50522 كتكرار لنمط يونيو وتسريع التصحيح. في كلتا الحالتين، تطلب CISA شيئًا أصعب من التصحيح: إنهم يريدون دليلاً على أن التصحيح جاء في الوقت المناسب.