تنبيهان بدرجة خطورة "Critical" صدرا في نفس اليوم، من نفس الشركة، لنفس فئة الأجهزة التي تعتمد عليها أغلب الشبكات لتمرير حركة البيانات. هذا ليس مجرد تزامن تتجاهله بسهولة. في 5 أغسطس 2026 أصدرت Cisco تحديثات تحصينية (hardening releases) لكل من IOS XE و Catalyst SD-WAN بدرجة CVSS 9.8 و9.9 على التوالي — بدون أي حل بديل (workaround) لأي منهما. إذا كنت تشغّل سويتشات أو راوترات Cisco، أو بنية SD-WAN، فهذا النوع من التنبيهات يجب أن يصعد إلى أعلى قائمة أعمالك اليوم، لا في نافذة الصيانة المقبلة.

ما حدث بالضبط في 5 أغسطس 2026

أصدر فريق PSIRT التابع لـ Cisco (فريق الاستجابة لحوادث أمان المنتجات) إشعارًا مسبقًا، ثم نشر بعده إصدارين تحصينيين منفصلين: واحد لبرنامج Cisco IOS XE، والآخر لبرنامج Cisco Catalyst SD-WAN. كلاهما موصوف بأنه "إصدار تحصيني" لا ترقيع تفاعلي لهجوم قائم — بمعنى أن Cisco نفسها اكتشفت هذه الثغرات من خلال مراجعة واختبار أمني داخلي، لا لأن أحدًا رصد استغلالًا فعليًا لها في الميدان. هذا الفرق مهم في كيفية ترتيب أولوياتك، وسأعود له بعد قليل، لكن لا تدع كلمة "اكتشاف داخلي" تتحول في ذهنك إلى "أولوية منخفضة". درجة CVSS 9.8 أو 9.9 تبقى 9.8 أو 9.9 بغض النظر عن من اكتشف الثغرة أولًا.

إصدار IOS XE التحصيني: سبعة ثغرات، CVSS 9.8

يضم إصدار IOS XE سبعة ثغرات — من CVE-2026-20267 إلى CVE-2026-20273 — جميعها بدرجة خطورة "Critical" وبقيمة CVSS أساسية 9.8. نظام IOS XE يعمل على غالبية منصات Cisco الحديثة للتوجيه والتحويل، وهذا يعني أن نطاق تأثير هذا التنبيه واسع جدًا: إن كنت قد نشرت سويتشات Catalyst أو راوترات من سلسلة ISR/ASR خلال السنوات الأخيرة، فالاحتمال كبير أن IOS XE هو النظام العامل خلفها. تنبيه Cisco الرسمي (cisco-sa-hardening-iosxe-V8NMuMZJ) هو المرجع المعتمد هنا، وهو يوصي صراحة بالترقية الفورية إلى الإصدار المُصلح. ليس "عند توفر الوقت المناسب" — فورًا.

الشيء الذي لا يقدمه لك التنبيه هو حل بديل. لا توجد قائمة ACL، لا ميزة يمكن تعطيلها، ولا إعداد تخفيفي تشير Cisco إليه كحل مؤقت. الإصدار المُصلح هو المسار الوحيد للعلاج. هذا تصريح متعمد وصريح من Cisco، ويجب أن يُشكّل طريقة تخطيطك: لا يمكنك شراء وقت إضافي بتغيير إعدادات هنا. الوقت الإضافي الوحيد تحصل عليه بجدولة نافذة الترقيع الآن.

إصدار Catalyst SD-WAN التحصيني: خمس ثغرات، CVSS 9.9 — الأخطر بينهما

الإصدار الثاني يخص برنامج Catalyst SD-WAN تحديدًا: CVE-2026-20303، CVE-2026-20304، CVE-2026-20310، CVE-2026-20312، وCVE-2026-20313. خمس ثغرات، جميعها Critical، بقيمة أساسية 9.9 — أعلى بدرجة واحدة من إصدار IOS XE. إذا كنت تشغّل بنية SD-WAN تربط فروعًا متعددة، فهذا التنبيه هو الأولى بالقراءة، لأن متحكمات SD-WAN تقع في نقطة اختناق حرجة: من يخترق طبقة التحكم (controller plane) لا يخترق جهازًا واحدًا، بل كل موقع يتصل بهذه البنية. درجة 9.9 على برنامج تحكم بهذا الحجم من التأثير تُعد من أعلى ما تصل إليه تصنيفات CVSS عمليًا.

القاعدة هنا نفسها كما في IOS XE: لا يوجد حل بديل. Cisco وفّرت إصدارًا مُصلحًا، وهو الطريق الوحيد للعلاج. إذا كانت بيئة SD-WAN لديك تمتد عبر مواقع متعددة تُدار بواسطة vManage، فلا تحاول ترقيع كل موقع على حدة على مدى أسابيع — اعتبر طبقة المتحكم والتنسيق (orchestration layer) هي الأولوية، لأنها غالبًا ما تكون نقطة أكبر تأثير عند الاختراق.

"غير معروف استغلالها حاليًا" لا تعني الانتظار

هنا الفخ الذي يقع فيه كثير من المسؤولين مع إصدارات تحصينية كهذه: بما أن Cisco تصرّح صراحة أن هذه الثغرات غير معروف استغلالها فعليًا في الميدان، يصبح مغريًا وضع الترقيع في دورة الصيانة الفصلية المقبلة. هذه القراءة خاطئة. الثغرات المكتشفة داخليًا، وذات CVE عام، وبلا حل بديل، هي بالضبط النوعية التي تتحول إلى ثغرة مستغلة على نطاق واسع في غضون أسابيع من الإفشاء — يقوم المهاجمون بتحليل الفرق بين الإصدار القديم والمُصلح (patch diff)، يكتشفون مسار الكود الضعيف، ويبدؤون بمسح الشبكات بحثًا عن أجهزة غير مُرقّعة. نشر التنبيه نفسه هو إشارة الانطلاق، لا الطمأنينة. عبارة "لم يُستغل بعد" لها تاريخ انتهاء، ولن تُخبرك الشركة بالعد التنازلي.

أضف إلى ذلك غياب أي حل بديل، والمعادلة تصبح بسيطة: الترقيع هو خط دفاعك الوحيد، وكل يوم تأخير هو يوم إضافي تبقى فيه نافذة التعرض مفتوحة بلا أي ضوابط تخفيفية. إذا كان لدى مؤسستك سجل مخاطر رسمي (risk register)، فهذان التنبيهان يجب أن يُصنّفا كأولوية عالية بغض النظر عن حالة الاستغلال، لسبب واحد فقط: غياب الحل البديل يُلغي خياراتك الاحتياطية المعتادة.

حالة خاصة: متحكمات الشبكات اللاسلكية Catalyst 9800

إذا كنت تشغّل متحكمات لاسلكية من سلسلة Catalyst 9800، هناك خطوة إضافية مدفونة في توجيهات Cisco للعلاج يسهل تفويتها إذا اكتفيت بقراءة عنوان التنبيه فقط. توجّه Cisco المسؤولين إلى الترقية إلى نسخة IOS XE المُحصّنة أمنيًا و تطبيق تصحيح APSP في نفس نافذة الصيانة — تنفيذهما بشكل منفصل يعرّضك لخطر تعطّل الخدمة اللاسلكية على المتحكم. هناك أيضًا خلل محدد مرتبط بهذا المسار العلاجي، برقم CSCwv98483، له حل بديل موثّق يمكنك تطبيقه إلى أن تصدر Cisco تحديث SMU (Software Maintenance Update) الخاص به. إن كانت بنيتك اللاسلكية تعمل على متحكمات 9800، اقرأ وثيقة Cisco المخصصة لهذا المسار العلاجي قبل أن تلمس بيئة الإنتاج — فهي كُتبت خصيصًا لأن مسار ترقية IOS XE القياسي لا يكفي بمفرده لهذه العائلة من المتحكمات.

قائمة عملية لنافذة الترقيع

سواء كنت تدير راوتر فرع واحد أو بنية SD-WAN متعددة المواقع، هذا الترتيب الذي أنصح بالعمل عليه هذا الأسبوع:

• الحصر أولًا. استخرج قائمة بكل جهاز يعمل بنظام IOS XE وكل مكوّن Catalyst SD-WAN (vManage، vSmart، vBond، vEdge/cEdge). لا يمكنك ترقيع ما لم تحدده.
• قارن مع قائمة CVE. تحقق من الإصدارات الحالية مقابل الإصدارات المُصلحة المذكورة في cisco-sa-hardening-iosxe-V8NMuMZJ والتنبيه المقابل لـ SD-WAN. لا تفترض — تحقق من كل جهاز على حدة.
• أعطِ الأولوية لطبقة التحكم والأجهزة المواجهة للإنترنت. متحكمات SD-WAN وراوترات حافة الإنترنت أولًا؛ السويتشات الداخلية غير المتاحة من خارج الشبكة يمكن أن تأتي بعدها، لكن لا تؤجلها إلى ما لا نهاية.
• إذا كنت تشغّل متحكمات Catalyst 9800، خطّط لترقية IOS XE وتصحيح APSP كإجراء صيانة واحد مدمج، وطبّق الحل البديل CSCwv98483 مؤقتًا إن لم تستطع تنفيذ الاثنين فورًا.
• جدول نافذة صيانة حقيقية هذا الأسبوع، لا الشهر المقبل. لا يوجد حل بديل يشتري لك وقتًا — نافذة الترقيع هي التخفيف نفسه.
• اختبر على جهاز تجريبي أو بيئة مختبر إن وجدت، خاصة في ترقيات متحكمات SD-WAN، حيث قد يؤدي مسار ترقية خاطئ إلى إسقاط البنية الكاملة (overlay).
• وثّق تاريخ الترقيع والإصدار لكل جهاز لسجلك الخاص. عندما يصدر التنبيه التالي — وسيصدر بالتأكيد — تريد أن تعرف فورًا ما هو مغطّى بالفعل.

بناء عادة، لا حل مؤقت فقط

هرولة الترقيع المفاجئة مُتعبة، ودائمًا ما تحدث في أسوأ الأوقات. الخيار الأفضل على المدى الطويل هو التعامل مع تنبيهات Cisco PSIRT كبند دائم في الجدول — أسبوعيًا أو كل أسبوعين، يتحقق أحد أعضاء فريقك من صدور إصدارات تحصينية أو تنبيهات أمنية جديدة تخص المنصات التي تشغّلها، ويسجلها مقابل حصر أجهزتك سواء كانت عاجلة أم لا. إصدارات تحصينية كهذا الثنائي هي اعتراف من Cisco نفسها بأنها اكتشفت شيئًا خطيرًا في اختبارها الداخلي قبل أن يكتشفه أي طرف آخر. هذا في الحقيقة أفضل سيناريو ممكن لك كمسؤول شبكة — تحصل على فرصة سبق لا يحصل عليها أغلب المدافعين مع ثغرة يوم صفر (zero-day) قائمة فعليًا. لا تُهدر هذه الفرصة بمعاملة التنبيه كضجيج روتيني. اذهب الآن وتحقق من أرقام إصدارات IOS XE و Catalyst SD-WAN لديك مقابل الإصدارات المُصلحة. إن كنت متأخرًا، فهذه مهمتك هذا الأسبوع — لا الفصل المقبل.

المصادر

• Cisco Security Advisory: Cisco Advance Notification for Publication of August 5, 2026, Security Advisories
• Cisco IOS XE Software Security Hardening Release: August 2026 (Cisco official advisory)
• Cisco Releases Critical Security Hardening Updates | Secure ISS
• Remediate IOS-XE Security Advisory - Aug 2026 and Related Critical Issues (Cisco Catalyst 9800)
• Cisco Patches Multiple Critical Cisco IOS XE Software Vulnerabilities - Patch Now!