إصلاح إختبار الأمان Catalyst SD-WAN Security Advisory - يونيو 2026

المقدمة

يوضح هذا المستند الخطوات الرامية إلى تحديد مواطن الضعف الأمنية الحيوية ومعالجتها في شبكة WAN المعرفة عن طريق SD استنادا إلى إرشادات PSIRT الصادرة في 4 و 15 يونيو 2026.

---

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• بنية Cisco Catalyst SD-WAN ومكونات التحكم (vManage و vSmart و vBond)
• إجراء ترقية Cisco Catalyst SD-WAN
• إدارة حالة Cisco TAC وإجراءات تجميع admin-tech

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

---

معلومات أساسية

للحصول على معلومات أساسية مفصلة وآخر التحديثات، يرجى الرجوع إلى الصفحة الاستشارية الرسمية ل PSIRT.

تتوفر هذه المستشارين في هذه الارتباطات:

• وحدة التحكم Cisco Catalyst SD-WAN Controller، و Catalyst SD-WAN Manager، و Catalyst SD-WAN Validator، مصادق على مستوى تصعيد الامتيازات
• قابلية الكتابة العشوائية في الملفات Cisco Catalyst SD-WAN Manager

ويتم معالجة هذه العيوب بواسطة إرشادات PSIRT التالية:

• معرف تصحيح الأخطاء من Cisco CSCwu18563
• معرف تصحيح الأخطاء من Cisco CSCwu18441

---

نظرة عامة على سير عمل الإصلاح

تصف هذه المستشارين نوعين من نقاط الضعف في Cisco Catalyst SD-WAN. الأول (CVE-2026-20245) هو قابلية التأثر بتصاعد الامتيازات في مكونات التحكم في SD-WAN التي تتطلب امتيازات إدارة الشبكة للاستفادة منها. والثانية (CVE-2026-20262) هي الثغرات العشوائية للكتابة في برنامج SD-WAN Manager (vManage) التي تسمح للمستخدم الذي تمت مصادقته بإنشاء أي ملف أو الكتابة فوقه على نظام الملفات المتأثر.

بالنسبة إلى كل من CVE-2026-20245 و CVE-2026-2026، فإن المسارات المعروفة للمهاجم البعيد غير المصدق عليه للحصول على بيانات الاعتماد المطلوبة هي إستغلال CVE-2026-20182 (Cisco-SA-sdwan-rpa2-v69WY2SW) أو CVE-2026-20127 (Cisco-sdwan-rpa-EHchtZK). يتطلب CVE-2026-20245 امتيازات NetAdmin لاستغلالها، في حين يتطلب CVE-2026-20262 على الأقل حساب مستخدم ذي مهمة واحدة منخفض الامتيازات.

إذا تمت ترقية مكونات التحكم لديك إلى إصدار ثابت لكل من هذين النذيرين، ولم تقم Cisco بتحديد أي مؤشرات محتملة للتسوية (IoCs) في ملفات admin-tech التي قمت بتوفيرها للأحداث السابقة، ثم يتم تخفيف مسارات الاستغلال المعروفة غير المصدق عليها لكل من CVE-2026-20245 و CVE-2026-20262 على هذه الأجهزة المحددة، استنادا إلى الملفات التي تمت مراجعتها. وهذا لا يقضي على التعريض عندما يحمل المهاجم بيانات اعتماد صالحة. توصي Cisco بالترقية إلى إصدار ثابت لكل من النصيحين.

الإجراء المطلوب: فتح حالة Cisco TAC لمعالجة إرشادات الأمان هذه.

TAC متوفر ل:

• قم بتقييم بيئتك للحصول على مؤشرات توافقية
• قم بإرشادك خلال مسار الإصلاح المناسب بناء على التقييم
• تقديم إرشادات بشأن الخطوات التالية التي يتعين إتخاذها في حال تحديد مؤشرات توفيقية

1. تجميع Admin-Techs- تشغيل Admin-tech على جميع مكونات التحكم (vSmart و vManage و vBond). يجب ألا يتم تشغيل تقنية vSmart admin في نفس الوقت، بل يجب تشغيلها مرة واحدة في كل مرة. ويمكن جمع كل الملفات الأخرى بأي ترتيب. حدد سجل وخيارات تقنية.  Core غير مطلوب.
2. فتح حالة TAC- الاتصال ب Cisco TAC وتوفير جميع مجموعات السجلات الخاصة ب Control Component Admin-tech.
3. تقييم TAC- يقوم TAC بإجراء تقييم أولي لمؤشرات التوافق في بيئتك استنادا إلى ملفات Admin-tech المقدمة.
4. تنفيذ الإصلاح- إكمال العملية المحددة التي توفرها TAC إذا لزم الأمر.

---

الخطوة 1: تجميع ملفات Admin-tech من جميع مكونات التحكم

مطلوب: قم بتجميع ملفات admin-tech من جميع مكونات التحكم قبل أي تغيير في الترقية أو التكوين حتى يتم الاحتفاظ بالبيانات التشخيصية وأي مؤشرات محتملة للتسوية (IoCs). يتم إستخدام هذه الملفات من قبل TAC في الخطوة 3 لتحليل بيئتك.

المجموعة: لإنشاء Admin-tech، حدد "سجل" والخيارات الفنية. Core غير مطلوب.

1. قم بتشغيل admin-tech على جميع وحدات التحكم (vSmarts) — لا تقم بتشغيل هذه الوحدات في نفس الوقت؛ جمع واحد في كل مرة
2. تشغيل Admin-tech على كافة المدراء (vManage)
3. تشغيل Admin-tech على كافة عوامل التحقق من الصحة (vBonds)

تجميع تقنية Admin في بيئة SD-WAN وتحميل إلى حالة TAC

البديل: التحقق اليدوي (فقط في حالة تعذر تجميع admin-tech)

إذا تعذر عليك مشاركة ملفات admin-tech، فستتوفر خطوة تحقق يدوية. توفر هذه الخطوة مؤشرا أوليا يجب توثيقه ومشاركته مع TAC.

راجع قسم خطوات التحقق اليدوي في نهاية هذا المستند للحصول على إجراء مفصل. قم بتوثيق جميع النتائج وقدمها إلى TAC في حالة الدعم الخاصة بك.

---

الخطوة 2: فتح حالة مركز المساعدة الفنية وتحميل ملفات admin-tech

بعد تجميع admin-techs في الخطوة 1، افتح حالة دعم Cisco TAC وقم بتحميل ملفات admin-tech التي تم تجميعها. يحلل TAC معايير Admin-Techs الخاصة بمؤشرات التوافق المرتبطة بكل من النصيحين (CVE-2026-20245 و CVE-2026-20262).

الإجراءات المطلوبة:

1. افتح حالة مركز المساعدة الفنية من مستوى الخطورة 3 مع "CVE-2026-20245، CVE-2026-20262" والمعرفات الاستشارية Cisco-sa-sdwan-privesc-4uxFrdzx وCisco-sa-sdwan-arbfw-c2rZvQ في العنوان لبدء التحليل.
2. قم بتحميل جميع مجموعات السجلات من Admin-tech التي يتم تجميعها في الخطوة 1 (وحدات التحكم والمديرين وأجهزة التحقق من الصحة).
3. انتظار TAC لإكمال التحليل وإبلاغ النتائج.

الخطوة 3: تقييم TAC

يجري TAC تحليلا أوليا لملفات admin-tech التي قمت بتحميلها في الخطوة 2 ويقيمها للحصول على مؤشرات التسوية المرتبطة بكل من المستشارين (CVE-2026-20245 و CVE-2026-2026).

وبالنسبة للتقييم الاستشاري ل CVE-2026-20245، يركز التحليل على إدخال سجل محدد في /var/log/scripts.log على كل مكون من مكونات التحكم (vManage و vSmart و vBond). لأن الأمر الأساسي مشروع ولا يفرق السجل بين الاستخدام المشروع والضاري، فإن أي إدخالات مطابقة تتطلب مراجعة يدوية من قبل TAC مقابل وضعية التشغيل العادية قبل أن تتم معالجتها كمؤشر مؤكد.

وبالنسبة للإستشارات CVE-2026-20262، يركز التحليل على عدة ملفات في دليل /var/log/nms لكل مدير (vManage). وفي بعض الحالات، يمكن أن تحدث هذه المؤشرات التوافقية أثناء العمليات القياسية. 

لا تفرق هذه السجلات بين الاستخدام المشروع والضاري؛ وبالتالي، فإن أي إدخالات مطابقة تتطلب مراجعة يدوية من قبل TAC مقابل وضعك التشغيلي العادي قبل أن تتم معاملتك كمؤشر مؤكد.

النتائج المحتملة لتحليل TAC:

• لم يتم تحديد إدخالات سجل مطابقة — استنادا إلى ملفات Admin-tech التي تمت مراجعتها، لم يتم ملاحظة أية مؤشرات مرتبطة بأي من الاستشارتين. لا يلزم إتخاذ أي إجراء إضافي خاص بهذه النصائح في الوقت الحالي. تقتصر النتيجة على ملفات admin-tech التي تم تلقيها وتخضع لفترة الاحتفاظ بالسجل على كل جهاز.
• إدخالات السجل المطابقة المحددة — يشرك TAC المستخدم بخطوات مراجعة إضافية. يوصى بالترقية إلى إصدار ثابت لكل من النصيحين. ونظرا لطبيعة النصائح، يمكن أيضا طلب إجراء إضافي. يتم توثيق إرشادات TAC لسيناريوهات الحلول الوسط المؤكدة في مقالات TechZone ذات الصلة المشار إليها في الخطوة 4.

الخطوة 4: إذا تم تحديد مؤشرات التوافق - الالتزام بإرشادات TAC

إذا كان TAC يحدد مؤشرات الحلول الوسط المرتبطة بهذه الإرشادات في بيئتك، فإن TAC يتصل بك بإرشادات محددة. قم بإكمال جميع التعليمات المقدمة من قبل TAC.

وإذا لم تحدد أي مؤشرات توفيقية لأي من الاستشاريين، فلا حاجة في الوقت الحالي إلى إتخاذ أي إجراء آخر خاص بتقييم الحل التوفيقي، استنادا إلى ملفات الإدارة والتكنولوجيا التي تم إستعراضها. لا يزال من المستحسن بشدة الترقية إلى إصدار ثابت لكلا النصيحين.

---

إصدارات البرامج الثابتة

تحتوي إصدارات البرامج هذه على حلول للمكامن الضعف المحددة:

ينطبق على الإصدارات الحالية	الإصدار الثابت	البرامج المتوفرة
20.9.9.1 وما قبله	20.9.9.2	20.9.9.2 ترقية الصور ل vManage و vSmart و vBond
20-12-7-1 وما قبله	20.12.7.2	20.12.7.2 صور الترقية ل vManage و vSmart و vBond
20.15.4.4 وما قبله	20.15.4.5	20.15.4.5 صور ترقية ل vManage و vSmart و vBond
20.15.5.2 وما قبله	20.15.5.3	20.15.5.3 صور ترقية ل vManage و vSmart و vBond
20.16 و 20.17 و 20.18.x	20.18.3.1	20.18.3.1 صور الترقية ل vManage و vSmart و vBond
26.1	26.1.1.2	26.1.1.2 صور الترقية ل vManage و vSmart و vBond

مراجع مهمة:

• مصفوفة الترقية
• مصفوفة توافق وحدة التحكم
• إصلاح نصيحة الأمان Catalyst SD-WAN - مايو 2026
• إصلاح نصيحة الأمان Catalyst SD-WAN - فبراير 2026
• إمكانية تجاوز مصادقة وحدة تحكم SD-WAN من Cisco Catalyst (14 مايو 2026)

---

الإعتبارات

عند الانتهاء من عملية إصلاح ناجحة، واستنادا إلى متطلبات ضمان الأمان الخاصة بك، توصي Cisco بتقييم أنشطة النظافة الشخصية المذكورة هنا والعمل بموجبها. تنطبق هذه الأنشطة بغض النظر عن أي خيار من خيارات المعالجة تم تحديده. فهي مدارة من قبل المستخدم؛ لا تقوم Cisco بتوجيه هذه التغييرات أو تنفيذها بالنيابة عنك.

• مراجعة جميع حسابات المستخدمين المحليين
• تناوب وثائق الإعتماد
• تدوير أي أسرار موجودة في تكوينات الجهاز، على سبيل المثال (قائمة غير شاملة):
  • بيانات الاعتماد لحسابات المستخدمين المحليين
  • سلاسل مجتمع SNMP
  • مفاتيح Tacacs السرية
  • المفاتيح والشهادات المشتركة مسبقا لشبكة VPN
  • مفاتيح SSH الموثوق بها
• مراجعة قوالب التكوين

الأجهزة الطرفية — تسوية مشبوهة

لا توصي Cisco بمسار إصلاح محدد؛ يقع تحديد خيار الإصلاح على كل عميل. 

الأمر المناسب لإجراء إعادة ضبط آمنة للمصنع هو:

factory-reset all secure

---

الملحق: خطوات التحقق اليدوي (فقط في حالة عدم إمكانية تجميع admin-tech)

التحقق ل CVE-2026-20245: تحقق من البرامج النصية.سجل كل مكون تحكم لإدخالات تحميل الملفات

وفقا لنصيحة PSIRT، يتم تشجيع المستخدمين على مراجعة ملفات السجل لإدخالات مماثلة لهذا المثال. في الإصدار 20.9 والإصدارات الأحدث، يتم العثور على هذا الإدخال في البرامج النصية.log at /var/log/. في الإصدارات السابقة ل 20.9، يتم العثور على البيانات المكافئة في سجلات vdebug في /var/log/tmplog/:

Apr 15 09:44:57 vmanage vScript: Tenant list upload per vsmart serial number: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0

الخطوة 1: الوصول إلى vShell على كل مكون تحكم والبحث في ملفات السجل المناسبة لمؤشرات CVE-2026-20245

يعتمد موقع ملف السجل على إصدار البرنامج الذي يتم تشغيله على مكون التحكم. حدد ما الذي ينطبق على بيئتك قبل تشغيل البحث.

الإصدار 20.9 والإصدارات الأحدث — نصوص البحث النصية.سجل الدخول /var/log/tmplog/:

من واجهة سطر الأوامر (CLI) vManage، قم بالإفلات إلى vShell والتشغيل:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/scripts.log*

الإصدارات قبل 20.9 — البحث في سجلات vdebug في /var/log/tmplog/:

في الإصدارات السابقة ل 20.9، لا يوجد scripts.log. تتم كتابة بيانات السجل المكافئة إلى /var/log/tmplog/vdebug. يتم الاحتفاظ بما يصل إلى خمسة ملفات متكررة مرقمة (vdebug، vdebug.1 حتى vdebug.5). بحث في كل الملفات النشطة باستخدام:

vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/tmplog/vdebug*

بالإضافة إلى الملفات النشطة، يتم أرشفة السجلات الأقدم كملفات tar مضغوطة في /var/log/ باستخدام نمط التسمية vdebug_<timestamp>.tar.gz، مع تخزين بيانات السجل داخل الأرشيف في var/log/tmplog. البحث في كافة الأرشيفات باستخدام:

for f in /var/log/vdebug_*.tar.gz; do echo "=== $f ==="; tar -xOf "$f" var/log/tmplog 2>/dev/null | grep "vconfd_script_upload_tenant_list.sh"; done

قم بتكرار كافة عمليات التحقق المطبقة على كل مكون تحكم في عملية النشر (بما في ذلك جميع أعضاء نظام المجموعة وأي أداة vManage مقترنة بذاكرة DR).

الخطوة 2: ترجمة النتائج والمستند ل TAC

في حالة عدم إرجاع أية إدخالات مطابقة:

• لم يتم ملاحظة أية مؤشرات للتسوية مرتبطة بهذا الاستشاري في ملف السجل على هذا الجهاز.
• قم بتوثيق هذه النتيجة لحالة TAC الخاصة بك (يتضمن اسم مضيف الجهاز وتاريخ/نطاق ملفات السجل التي تم البحث فيها).
• متابعة التحقق من المديرين المتبقين.

في حالة إرجاع الإدخالات المطابقة:

• يجب مراجعة كل إدخال مطابق مقابل وضعك التشغيلي العادي. الأمر الأساسي (تحميل قائمة المستأجرين) مشروع ويظهر أثناء العمليات الروتينية.
• لكل إدخال مطابق، قم بالتقاط الطابع الزمني وسطر السجل الكامل ومسار الملف المشار إليه بعد مسار واجهة سطر الأوامر.
• إذا تعذر تسوية إدخال مطابق بعملية معروفة ومشروعة، فهذا مؤشر محتمل على التسوية. قم بتوثيق النتيجة وتقديمها إلى TAC للمراجعة.
• قم بتوثيق جميع النتائج وفتح حالة مركز المساعدة الفنية. قم بتضمين إدخالات سجل المطابقة ومخرج الأمر المصدر في حالتك.
• يجري مركز المساعدة الفنية التقييم الرسمي. إذا كان التقييم يحدد مؤشرات الحلول الوسط، ارجع إلى التدفق الوارد وصفه في وثائق TechZone ذات الصلة: و أدلة الإصلاح.

التحقق ل CVE-2026-20262: تحقق من ملفات السجل على كل مدير (vManage) لإدخالات الكتابة العشوائية للملفات

وفقا لنصيحة PSIRT، يتم تشجيع المستخدمين على مراجعة ملفات السجل هذه على كل مدير (vManage) لإدخالات مشابهة لهذه الأمثلة:

مثال على الإدخال المريب في vmanage-server.log (موجود في /var/log/nms/)

11-June-2026 03:53:37,310 EDT INFO  [a66cdc5f-807d-4c23-944e-5c809a2ece6b] [server] [SdraAnyConnectFileUploadHandler] (default task-40704) |default| uploaded Remote Access Anyconnect profile file: ../../../../var/lib/wildfly/standalone/deployments/suspicious.war to vManage.

مثال على الإدخال المريب في vmanage-appserver.log (الموجود في /var/log/nms/)

11-June-2026 07:52:55,275 UTC INFO  [server] (DeploymentScanner-threads - 2) WFLYSRV0010: Deployed "suspicious.war" (runtime-name : "suspicious.war")

مثال على الإدخال المريب في ServiceProxy-access.log (موجود في var/log/nms/containers/service-proxy/)

POST /suspicious/index.jsp HTTP/1.1

الخطوة 1: الوصول إلى vShell على كل مدير (vManage) والبحث في ملفات السجل

من واجهة سطر الأوامر (CLI) التي تدعم تقنية vManage، قم بالإفلات إلى وضع vShell والتشغيل :

vs
zgrep "SdraAnyConnectFileUploadHandler" /var/log/nms/vmanage-server.log*
zgrep "WFLYSRV0010" /var/log/nms/vmanage-appserver.log*

في بعض الإصدارات، يمكن الوصول إلى سجل وكيل الخدمة مباشرة من vshell. في الإصدارات التي يلزم فيها الوصول إلى طبقة الجذر، قم بتنزيل admin-tech والبحث في ملفات serviceProxy-access.log الموجودة داخلها بالطريقة نفسها باستخدام أمر مماثل ل:

الإصدار 20.9 والإصدارات الأحدث:

tar -xOf .tar.gz var/log/nms/containers/service-proxy/serviceproxy-access.log 2>/dev/null | grep "suspicious"

الإصدارات قبل 20.9:

tar -xOf .tar.gz var/log/nms/serverproxy-access.log 2>/dev/null | grep "suspicious"

إذا قمت بالوصول مباشرة من VSHELL، فاستخدم اسم ملف .war المحدد من نتائج الأوامر السابقة (بدون الامتداد) بدلا من العناصر المريبة:

الإصدار 20.9 والإصدارات الأحدث:

zgrep "POST" /var/log/nms/containers/service-proxy/serviceproxy-access.log* | grep "suspicious"

الإصدارات قبل 20.9:

zgrep "POST" /var/log/nms/serverproxy-access.log* | grep "suspicious"

قم بتكرار التحقق من كل vManage في النشر (بما في ذلك جميع أعضاء نظام المجموعة وأي إصدار DR-PAIR vManage).

الخطوة 2: ترجمة النتائج والمستند ل TAC

في حالة عدم إرجاع أية إدخالات مطابقة:

• لم يتم ملاحظة أية مؤشرات للتسوية مرتبطة بهذه الإرشادات في ملفات السجل الموجودة على هذا الجهاز.
• قم بتوثيق هذه النتيجة لحالة TAC الخاصة بك (يتضمن اسم مضيف الجهاز وتاريخ/نطاق ملفات السجل التي تم البحث فيها).
• متابعة التحقق من المديرين المتبقين.

في حالة إرجاع الإدخالات المطابقة:

• يجب مراجعة كل إدخال مطابق مقابل وضعك التشغيلي العادي. يمكن أن تحدث هذه الإدخالات أثناء العمليات القياسية ولا تقوم بتأكيد التسوية وحدها.
• لكل إدخال مطابق في vmanage-server.log، قم بالتقاط الطابع الزمني وسطر السجل الكامل ومسار الملف المشار إليه في معالج التحميل.
• إذا تعذر تسوية إدخال مطابق بعملية معروفة ومشروعة، فهذا مؤشر محتمل على التسوية. قم بتوثيق النتيجة وتقديمها إلى TAC للمراجعة.
• قم بتوثيق جميع النتائج وفتح حالة مركز المساعدة الفنية. قم بتضمين إدخالات سجل المطابقة ومخرج الأمر المصدر في حالتك.
• يجري مركز المساعدة الفنية التقييم الرسمي. إذا كان التقييم يحدد مؤشرات الحلول الوسط، ارجع إلى التدفق الوارد وصفه في وثائق TechZone ذات الصلة: و أدلة الإصلاح.

---

الأسئلة المتكررة

س: ما هي الخطوة الأولى لمعالجة إستشارات الأمان هذه؟

ج: قم بتجميع ملفات admin-tech من جميع مكونات التحكم (vSmart و vManage و vBond) قبل أي تغيير في الترقية أو التكوين للحفاظ على بيانات التشخيص وأي مؤشرات محتملة للتسوية. ثم افتح حالة Cisco TAC وتحميل admin-techs حتى يمكن TAC تحليلها.

س: هل قامت Cisco بإصدار إصلاح برنامج لنقاط الضعف هذه؟

ج: نعم، تتوفر الإصدارات الثابتة لكل من المستشارين، كما هو مدرج في قسم إصدارات البرامج الثابتة. لا توجد حلول بديلة.

س: لماذا توصي Cisco باتخاذ إجراء يتجاوز الترقية؟

ج: ويتطلب إستغلال مواطن الضعف هذه وجود مستخدم مصدق عليه. ولا يمكن للمهاجم غير المصدق عليه الحصول على بيانات الاعتماد هذه إلا من خلال بيانات اعتماد صالحة أو من خلال إستغلال CVE-2026-20182 أو CVE-2026-20127. ويحرص ضمان ترقية مكونات التحكم إلى الإصدارات الثابتة لتلك النصائح السابقة على توجيه المسارات المعروفة غير المصدق عليها للحصول على الامتيازات المطلوبة لاستغلال نقاط الضعف هذه. يساعد تحليل admin-tech في الخطوة 3 في تحديد ما إذا كانت هناك أية مؤشرات للتسوية موجودة في الملفات التي تمت مراجعتها.

س: هل أحتاج إلى جمع الفنيين المسؤولين من جميع مكونات التحكم؟

ج: نعم. يتطلب TAC ملفات تقنية admin من جميع وحدات التحكم (vSmart، التي يتم تجميعها في كل مرة)، وجميع المدراء (vManage)، وجميع أجهزة التحقق من الصحة (vBond) لإجراء التحليل.

س: كيف يحدد TAC ما إذا كان نظامي يحتوي على مؤشرات للتسوية مرتبطة بهذه الإرشادات؟

ج: يراجع TAC ملفات admin-tech للتعرف على مؤشرات التوافق الخاصة بكل نصيحة. للحصول على إخطارات تصعيد الامتيازات (CVE-2026-20245)، يبحث TAC عن إدخالات سجل محددة في /var/log/scripts.log على كل مكون تحكم. من أجل التقرير الاستشاري للكتابة في الملفات بشكل تعسفي (CVE-2026-20262)، يبحث TAC عن إدخالات سجل محددة عبر ثلاثة ملفات سجل على كل مدير: /var/log/nms/vmanage-server.log، /var/log/nms/vmanage-appserver.log، و/var/log/nms/containers/service-proxy/serviceproxy-access.log. وفي كلتا الحالتين، يمكن أن يحدث النشاط الأساسي أثناء العمليات القياسية؛ تتم مراجعة أي إدخالات مطابقة بواسطة TAC مقابل وضعك التشغيلي العادي قبل التعامل معها كمؤشر مؤكد.

س: ماذا يحدث إذا جرى تحديد مؤشرات للتسوية؟

ج: يتصل TAC بك بإرشادات محددة. لا تحل الترقية وحدها حلا وسطا مؤكدا. تستند إرشادات TAC إلى التدفق الموثق في مقالات TechZone ذات الصلة للاستشارات في مايو 2026 وفبراير 2026.

س: هل تتأثر موجهات الحافة (Cisco IOS XE) بهذه الإرشادات؟

ج: تؤثر هذه المستشارين بشكل أساسي على مكونات التحكم Cisco Catalyst SD-WAN. للحصول على إخطار تصعيد الامتيازات (CVE-2026-20245)، تتأثر جميع مكونات التحكم (vManage و vSmart و vBond)، وقد لاحظت Cisco حالات محدودة حيث أسفر الاستغلال عن تغيير التكوين الذي يتم دفعه إلى الأجهزة الطرفية؛ يتم تشجيع المستخدمين للتحقق من تكوين أجهزتهم الطرفية. للحصول على إخطار الكتابة التعسفي للملفات (CVE-2026-20262)، يقتصر التعرض للضرر على نظام الملفات SD-WAN Manager ولا يؤثر بشكل مباشر على الأجهزة الطرفية.

س: ما أنواع النشر المتأثرة؟

ج: بناء على هذه الإرشادات، تؤثر نقاط الضعف هذه على جميع أنواع نشر Cisco Catalyst SD-WAN بغض النظر عن تكوين الجهاز، بما في ذلك النشر المسبق، و Cisco SD-WAN Cloud-Pro، و Cisco SD-WAN Cloud (Cisco Managed)، و Cisco SD-WAN للحكومات (FedRAMP).

س: لقد قمت بالفعل بترقية إستشارتي أيار/مايو 2026 وشباط/فبراير 2026، ولم تحدد مؤشرات توفيقية لتلك الأحداث. هل أنا معرض لهذه نقاط الضعف الجديدة؟

ج: إذا كانت مكونات التحكم الخاصة بك تعمل على تشغيل إصدار ثابت لكل من CVE-2026-20182 و CVE-2026-20127 ولم يتم تحديد مؤشرات توافق لتلك الأحداث السابقة في ملفات admin-tech التي تمت مراجعتها، فإن مسارات الاستغلال المعروفة غير المصدق عليها لكل من CVE-2026-20245 و CVE-2026-20262 يتم تخفيفها على تلك الأجهزة المحددة، بناء على الملفات التي تمت مراجعتها. وهذا لا يقضي على التعريض عندما يحمل المهاجم بيانات اعتماد صالحة. توصي Cisco بالترقية إلى إصدار ثابت لهذه الإرشادات.

س: هل يمكنني إجراء التحقق بنفسي بدلا من انتظار TAC؟

ج: يمكن للمستخدمين الذين لا يمكنهم مشاركة admin-techs تنفيذ خطوة التحقق اليدوي الموضحة في الملحق. وكانت النتيجة أولية؛ توثيق النتائج ومشاركتها مع TAC، الذي يجري التقييم الرسمي.

س: ما هي أفضل الممارسات العامة لتقسية تغشية شبكة SD-WAN؟

ج: راجع دليل تقوية Cisco Catalyst SD-WAN للحصول على أفضل الممارسات.

س: هل يوفر Cisco TAC خدمات تحليل الطب الشرعي أو التحقيقات الخاصة بنقاط الضعف هذه؟

ج: يمكن أن يساعد Cisco TAC المستخدمين من خلال مراجعة ملفات admin-tech الخاصة بمؤشرات الحلول الوسط الموثقة في كل من إرشادات PSIRT. لا يقوم Cisco TAC بإجراء تحليل معمق للطب الشرعي أو تحقيقات في الحوادث. للقيام بأعمال الطب الشرعي الشاملة أو التحقيقات الأمنية التفصيلية، يتم تشجيع المستخدمين على التعامل مع الشركة المفضلة لديهم والخاصة بالاستجابة للحوادث (IR).