إصلاح نصيحة الأمان Catalyst SD-WAN - يونيو 2026

المقدمة

يصف هذا المستند الخطوات الرامية إلى تحديد مواطن الضعف الأمنية الحيوية ومعالجتها في شبكة WAN الخاصة ب SD استنادا إلى إرشادات PSIRT الصادرة في 4 يونيو 2026.

---

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• بنية Cisco Catalyst SD-WAN ومكونات التحكم (vManage و vSmart و vBond)
• إجراء ترقية Cisco Catalyst SD-WAN
• إدارة حالة Cisco TAC وإجراءات تجميع admin-tech

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

---

معلومات أساسية

للحصول على معلومات أساسية مفصلة وآخر التحديثات، يرجى الرجوع إلى الصفحة الاستشارية الرسمية ل PSIRT.

تتوفر هذه المستشارين في هذه الارتباطات:

• يصدق Cisco Catalyst SD-WAN Manager قابلية تصعيد الامتيازات

ويتم معالجة هذه العيوب بواسطة إرشادات PSIRT التالية:

• معرف تصحيح الأخطاء من Cisco CSCwu18563

---

نظرة عامة على سير عمل الإصلاح

تصف هذه النصيحة قابلية التأثر بتصعيد الامتيازات في "مدير SD-WAN" التي تتطلب امتيازات NetAdmin لاستغلالها.

وفقا للتحذير، المسارات المعروفة للمهاجم البعيد غير المصدق عليه للحصول على تلك الامتيازات هي إستغلال CVE-2026-20182 (Cisco-sa-sdwan-rpa2-v69WY2SW) أو CVE-2026-20127 (Cisco-SA-sdwan-rpa-EHchtZk).

إذا تمت ترقية مكونات التحكم الخاصة بك إلى إصدار ثابت لكل من هذين النصائح، ولم تقم Cisco بتحديد أي مؤشرات محتملة للتسوية (IoCs) في ملفات admin-tech التي قمت بتوفيرها للأحداث السابقة، حينئذ يتم تخفيف مسارات الاستغلال المعروفة غير المصدق عليها لهذه الثغرات الجديدة على تلك الأجهزة المحددة، استنادا إلى الملفات التي تمت مراجعتها.

ولا يؤدي هذا إلى الحد من التعرض حيث يحتفظ المهاجم ببيانات اعتماد NetAdmin صالحة. لم تصدر Cisco بعد إصلاح برنامج لهذا الضعف، ولا توجد حلول بديلة متاحة؛ وسوف يتبع ذلك المزيد من الإرشادات عندما يصبح متاحا.

الإجراء المطلوب:فتح حالة Cisco TAC لمعالجة نصيحة الأمان هذه.

TAC متوفر ل:

• قم بتقييم بيئتك للحصول على مؤشرات توافقية
• قم بإرشادك خلال مسار الإصلاح المناسب بناء على التقييم
• توفير التوجيه بشأن الخطوات التالية التي يلزم إتخاذها في حالة تحديد مؤشرات توفيقية

1. تجميع Admin-Techs- تشغيل Admin-tech على جميع مكونات التحكم (vSmart و vManage و vBond). يجب ألا يتم تشغيل تقنية vSmart admin في نفس الوقت، بل يجب تشغيلها مرة واحدة في كل مرة. ويمكن جمع كل الملفات الأخرى بأي ترتيب. حدد سجل وخيارات تقنية.  Core غير مطلوب.
2. فتح حالة TAC- الاتصال ب Cisco TAC وتوفير جميع مجموعات السجلات الخاصة ب Control Component Admin-tech.
3. تقييم TAC- قم بإجراء تقييم أولي لمؤشرات التوافق داخل بيئتك ويقوم TAC بإجراء تقييم أولي لمؤشرات التوافق في بيئتك.
4. تنفيذ الإصلاح- إكمال العملية المحددة التي توفرها TAC إذا لزم الأمر.

---

الخطوة 1: تجميع ملفات Admin-tech من جميع مكونات التحكم

مطلوب: قم بتجميع ملفات admin-tech من جميع مكونات التحكم قبل أي تغيير في الترقية أو التكوين حتى يتم الاحتفاظ بالبيانات التشخيصية وأي مؤشرات محتملة للتسوية (IoCs). يتم إستخدام هذه الملفات من قبل TAC في الخطوة 3 لتحليل بيئتك.

المجموعة: لإنشاء Admin-tech، حدد "سجل" والخيارات الفنية. Core غير مطلوب.

1. قم بتشغيل admin-tech على جميع وحدات التحكم (vSmarts) — لا تقم بتشغيل هذه الوحدات في نفس الوقت؛ جمع واحد في كل مرة
2. تشغيل Admin-tech على كافة المدراء (vManage)
3. تشغيل Admin-tech على كافة عوامل التحقق من الصحة (vBonds)

تجميع تقنية Admin في بيئة SD-WAN وتحميل إلى حالة TAC

البديل: التحقق اليدوي (فقط في حالة تعذر تجميع admin-tech)

بالنسبة للعملاء الذين لا يمكنهم مشاركة ملفات admin-tech، تتوفر خطوة تحقق يدوية. توفر هذه الخطوة مؤشرا أوليا يجب توثيقه ومشاركته مع TAC.

راجع قسم خطوات التحقق اليدوي في نهاية هذا المستند للاطلاع على الإجراء التفصيلي. قم بتوثيق جميع النتائج وقدمها إلى TAC في حالة الدعم الخاصة بك.

---

الخطوة 2: فتح حالة مركز المساعدة الفنية وتحميل ملفات admin-tech

بعد تجميع admin-techs في الخطوة 1، افتح حالة دعم Cisco TAC وقم بتحميل ملفات admin-tech التي تم تجميعها. يقوم TAC بتحليل معايير Admin-Techs لمعرفة مؤشرات التوافق المرتبطة بهذه النصيحة.

الإجراءات المطلوبة:

1. افتح حالة مركز المساعدة الفنية من مستوى الخطورة 3 مع "CVE-2026-20245" والمعرف الاستشاري Cisco-sa-sdwan-privesc-4uxFrdzx في العنوان لبدء التحليل.
2. قم بتحميل جميع مجموعات السجلات من Admin-tech التي يتم تجميعها في الخطوة 1 (وحدات التحكم والمديرين وأجهزة التحقق من الصحة).
3. انتظار TAC لإكمال التحليل وإبلاغ النتائج.

الخطوة 3: تقييم TAC

يقوم TAC بإجراء تحليل أولي لملفات admin-tech التي قمت بتحميلها في الخطوة 2 ويقيمها للحصول على مؤشرات التسوية المقترنة بهذه المشورة.

ولأغراض هذه المشورة، يركز التحليل على إدخال سجل محدد في /var/log/scripts.log على كل مدير (vManage). بما أن الأمر الأساسي مشروع ولا يميز السجل بين الاستخدام المشروع والضاري، فإن أي إدخالات مطابقة تتطلب مراجعة يدوية من قبل TAC مقابل وضع التشغيل العادي للعميل قبل أن تتم معالجتها كمؤشر مؤكد.

النتائج المحتملة لتحليل TAC:

• لم يتم تحديد إدخالات سجل مطابقة — استنادا إلى ملفات Admin-tech التي تمت مراجعتها، لم تتم ملاحظة أية مؤشرات مرتبطة بهذه الإرشادات. ولا حاجة في الوقت الراهن إلى إتخاذ إجراء آخر خاص بهذه المشورة. تقتصر النتيجة على ملفات admin-tech التي تم تلقيها وقد تكون محدودة بفترة الاحتفاظ بالسجل على كل جهاز.
• إدخالات السجل المطابقة المحددة — سيقوم TAC بإشراك العميل بخطوات مراجعة إضافية. نظرا لأن Cisco لم تصدر إصلاح برنامج لهذه المشورة، فإن الترقية وحدها لا تحل هذه الثغرات. يتم توثيق إرشادات TAC لسيناريوهات الحلول الوسط المؤكدة في مقالات TechZone ذات الصلة المشار إليها في الخطوة 4.

الخطوة 4: إذا تم تحديد مؤشرات توفيقية - اتبع إرشادات TAC

إذا كان TAC يحدد مؤشرات التوافق المرتبطة بهذه المشورة في بيئتك، فإن TAC يتصل بك بإرشادات محددة. قم بإكمال جميع التعليمات المقدمة من قبل TAC.

وإذا لم يتم تحديد أي مؤشرات توفيقية لهذه المشورة، فلا حاجة في الوقت الحالي إلى إتخاذ أي إجراء آخر خاص بهذه المشورة، استنادا إلى ملفات الإدارة والتكنولوجيا التي تم إستعراضها.

---

الإعتبارات

عند إتمام عملية إصلاح ناجحة، وبناء على متطلبات ضمان الأمان الخاصة بكل عميل، قد يرغب العملاء في تقييم أنشطة النظافة والتصرف بموجبها. تنطبق هذه الأنشطة بغض النظر عن أي خيار من خيارات المعالجة تم تحديده. فهي خاضعة لإدارة العملاء؛ لا تقوم Cisco بتوجيهها أو تنفيذها نيابة عن العميل.

• مراجعة جميع حسابات المستخدمين المحليين
• تناوب وثائق الإعتماد
• تدوير أي أسرار موجودة في تكوينات الجهاز، على سبيل المثال (قائمة غير شاملة):
  • بيانات الاعتماد لحسابات المستخدمين المحليين
  • سلاسل مجتمع SNMP
  • مفاتيح Tacacs السرية
  • المفاتيح والشهادات المشتركة مسبقا لشبكة VPN
  • مفاتيح SSH الموثوق بها
• مراجعة قوالب التكوين

الأجهزة الطرفية — تسوية مشبوهة

لا توصي Cisco بمسار إصلاح محدد؛ يقع تحديد خيار الإصلاح على عاتق العميل. كملاحظة إعلامية للعملاء الذين يقومون بتقييم بيئتهم: في حالة اشتباه العميل في أختراق أحد الأجهزة الطرفية، فإن إعادة الضبط وإعادة الإلحاق في المصنع لجهاز (أجهزة) الحافة المتأثرة يعد إجراء يديره العميل قد يرغب العميل في أخذه بعين الاعتبار عند إجراء عملية الاختيار. إن إتخاذ القرار بشأن اتباع هذا النهج أو إختيار هذا الخيار يقع على عاتق العميل.

الأمر المناسب لإجراء إعادة ضبط آمنة للمصنع هو:

factory-reset all secure 3-pass

---

إصدارات البرامج الثابتة

ونظرا لأن إستغلال هذه الثغرة يتطلب امتيازات netadmin التي يمكن للمهاجم الذي لم تتم مصادقة بياناته فقط من خلال CVE-2026-20182 أو CVE-2026-20127، يتم تشجيع العملاء على التأكد من أن مكونات التحكم الخاصة بهم تقوم بتشغيل إصدار ثابت لتلك النصائح السابقة. يتم توثيق الإصدارات الثابتة لهذه الإرشادات في "إعلان الأمان ل SD-WAN في 14 مايو 2026" ووثيقة TechZone المقابلة:

• إمكانية تجاوز مصادقة وحدة تحكم SD-WAN من Cisco Catalyst (14 مايو 2026)
• (جدول إصدارات البرامج الثابتة)

مراجع مهمة:

• مصفوفة الترقية
• مصفوفة توافق وحدة التحكم

---

الملحق: خطوات التحقق اليدوي (فقط في حالة عدم إمكانية تجميع admin-tech)

التحقق: التحقق من البرامج النصية.log لكل مدير (vManage) لإدخالات تحميل قائمة المستأجرين

وفقا لتوصيات PSIRT، يتم تشجيع العملاء على مراجعة ملف scripts.log الموجود في /var/log/ لإدخالات مماثلة للمثال التالي:

Apr 15 09:44:57 vmanage vScript: Tenant list upload per vsmart serial number: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0

الخطوة 1: الوصول إلى vShell على كل مدير (vManage) والبحث في ملف السجل

من واجهة سطر الأوامر (CLI) vManage، قم بالإفلات إلى vShell والتشغيل:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/scripts.log*

قم بتكرار التحقق من كل vManage في النشر (بما في ذلك جميع أعضاء نظام المجموعة وأي إصدار DR-PAIR vManage).

الخطوة 2: ترجمة النتائج والمستند ل TAC

في حالة عدم إرجاع أية إدخالات مطابقة:

• لم يتم ملاحظة أية مؤشرات للتسوية مرتبطة بهذا الاستشاري في ملف السجل على هذا الجهاز.
• قم بتوثيق هذه النتيجة لحالة TAC الخاصة بك (يتضمن اسم مضيف الجهاز وتاريخ/نطاق ملفات السجل التي تم البحث فيها).
• متابعة التحقق من المديرين المتبقين.

في حالة إرجاع الإدخالات المطابقة:

• يجب مراجعة كل إدخال مطابق مقابل وضع التشغيل العادي الخاص بالعميل. الأمر الأساسي (تحميل قائمة المستأجرين) مشروع وقد يظهر أثناء العمليات الروتينية.
• لكل إدخال مطابق، قم بالتقاط الطابع الزمني وسطر السجل الكامل ومسار الملف المشار إليه بعد مسار واجهة سطر الأوامر.
• إذا تعذر تسوية إدخال مطابق بعملية معروفة ومشروعة، فقد يكون هذا مؤشرا على التسوية. قم بتوثيق النتيجة وتقديمها إلى TAC للمراجعة.
• قم بتوثيق جميع النتائج وفتح حالة مركز المساعدة الفنية. قم بتضمين إدخالات سجل المطابقة ومخرج الأمر المصدر في حالتك.
• يجري مركز المساعدة الفنية التقييم الرسمي. إذا كان التقييم يحدد مؤشرات التوافق، فاتبع التدفق الوارد وصفه في وثائق TechZone ذات الصلة: و أدلة الإصلاح.

---

الأسئلة المتكررة

س: ما هي الخطوة الأولى لمعالجة هذه المشورة الأمنية؟

ج: قم بتجميع ملفات admin-tech من جميع مكونات التحكم (vSmart و vManage و vBond) قبل أي تغيير في الترقية أو التكوين للحفاظ على بيانات التشخيص وأي مؤشرات محتملة للتسوية. ثم افتح حالة Cisco TAC وتحميل admin-techs حتى يمكن TAC تحليلها.

س: هل قامت Cisco بإصدار إصلاح برنامج لهذا الضعف؟

ج: ليس وقت نشر هذا المستند. وفقا للتحذير، تخطط Cisco لمعالجة هذا الضعف في Cisco Catalyst SD-WAN Manager في إصدار مستقبلي. لا توجد حلول بديلة. سيتم تحديث هذا المستند عند توفر إصدار ثابت.

س: إذا لم يوجد إصلاح، لماذا توصي Cisco بأي إجراء الآن؟

ج: يتطلب إستغلال هذه الثغرة امتيازات NetAdmin. ووفقا للتحذير، يمكن للمهاجم الذي لم تتم مصادقة بياناته الحصول على تلك الامتيازات فقط من خلال بيانات اعتماد صالحة أو من خلال إستغلال CVE-2026-20182 أو CVE-2026-20127. التأكد من ترقية مكونات التحكم إلى الإصدارات الثابتة لتلك الإرشادات السابقة يعالج المسارات المعروفة غير المصدق عليها للحصول على الامتيازات المطلوبة لاستغلال هذا الضعف. يساعد تحليل admin-tech في الخطوة 3 في تحديد ما إذا كانت هناك أية مؤشرات للتسوية موجودة في الملفات التي تمت مراجعتها.

س: هل أحتاج إلى جمع الفنيين المسؤولين من جميع مكونات التحكم؟

ج: نعم. يتطلب TAC ملفات تقنية admin من جميع وحدات التحكم (vSmart، التي يتم تجميعها في كل مرة)، وجميع المدراء (vManage)، وجميع أجهزة التحقق من الصحة (vBond) لإجراء التحليل.

س: كيف يحدد TAC ما إذا كان نظامي يحتوي على مؤشرات توافق مرتبطة بهذه الإرشادات؟

ج: يراجع TAC ملفات admin-tech ويبحث عن إدخال السجل المحدد الموضح في نشرة PSIRT الاستشارية في /var/log/scripts.log على كل مدير. الأمر الأساسي مشروع؛ يجب مراجعة أي إدخال مطابق مقابل وضعك التشغيلي العادي قبل التعامل معه كمؤشر محتمل. يقوم TAC بإجراء هذا المراجعة.

س: ماذا يحدث إذا جرى تحديد مؤشرات للتسوية؟

ج: يتصل TAC بك بإرشادات محددة. ونظرا لعدم توفر أي إصلاح للبرامج حاليا لهذه المشورة، فإن الترقية وحدها لا تحل أي تسوية مؤكدة. تتبع إرشادات TAC التدفق الموثق في مقالات TechZone ذات الصلة للاستشارات في مايو 2026 وفبراير 2026.

س: هل تتأثر الموجهات الطرفية (Cisco IOS XE) بهذه المشورة؟

ج: يؤثر هذا الاستشاري على مدير Cisco Catalyst SD-WAN. وفقا للإرشادات، لاحظت Cisco حالات محدودة أسفر فيها إستغلال هذه القابلية للتأثر عن تغيير في التكوين تم دفعه إلى الأجهزة الطرفية؛ يتم تشجيع العملاء للتحقق من تكوين أجهزتهم الطرفية.

س: ما أنواع النشر المتأثرة؟

ج: وفقا للاستشارة، تؤثر قابلية التأثر هذه على جميع أنواع نشر مدير SD-WAN من Cisco Catalyst بغض النظر عن تكوين الجهاز، بما في ذلك النشر المسبق، و Cisco SD-WAN Cloud-Pro، و Cisco SD-WAN Cloud (Cisco Managed)، و Cisco SD-WAN للحكومات (FedRAMP).

س: لقد قمت بالفعل بترقية إستشارتي أيار/مايو 2026 وشباط/فبراير 2026، ولم تحدد مؤشرات توفيقية لتلك الأحداث. هل أنا معرض لهذا الضعف الجديد؟

ج: إذا كانت مكونات التحكم الخاصة بك تعمل على تشغيل إصدار ثابت لكل من CVE-2026-20182 و CVE-2026-20127 ولم يتم تحديد أي مؤشرات توافق لتلك الأحداث السابقة في ملفات admin-tech التي تمت مراجعتها، فإنه يتم الحد من مسارات الاستغلال المعروفة غير المصدق عليها لهذا الضعف الجديد على تلك الأجهزة المحددة، بناء على الملفات التي تمت مراجعتها. ولا يؤدي هذا إلى الحد من التعرض حيث يحتفظ المهاجم ببيانات اعتماد NetAdmin صالحة.

س: هل يمكنني إجراء التحقق بنفسي بدلا من انتظار TAC؟

ج: قد يقوم العملاء الذين لا يستطيعون مشاركة المدراء - الفنيين بتنفيذ خطوة التحقق اليدوي الموضحة في الملحق. وكانت النتيجة أولية؛ توثيق النتائج ومشاركتها مع TAC، الذي يجري التقييم الرسمي.

س: ما هي أفضل الممارسات العامة لتقسية تغشية شبكة SD-WAN؟

ج: راجع دليل تقوية Cisco Catalyst SD-WAN للحصول على أفضل الممارسات.

س: هل يوفر Cisco TAC خدمات تحليل الطب الشرعي أو التحقيقات لهذا الضعف؟

ج: يمكن أن يساعد Cisco TAC العملاء من خلال مراجعة ملفات admin-tech الخاصة بمؤشرات الحلول الوسط الموثقة في تقرير PSIRT الاستشاري. لا يقوم Cisco TAC بإجراء تحليل معمق للطب الشرعي أو تحقيقات في الحوادث. للقيام بأعمال الطب الشرعي الشاملة أو التحقيقات الأمنية التفصيلية، يتم تشجيع العملاء على التعامل مع شركة إستجابة الحوادث (IR) المفضلة لديهم التابعة لجهة خارجية.