وكالة CISA تضيف ثغرات أوراكل وأخرى إلى كتالوج الثغرات المستغلة
أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية ثغرات من أوراكل وموزيلا ومايكروسوفت ويندوز ونواة لينكس ومتصفح مايكروسوفت إنترنت إكسبلورر إلى كتالوج الثغرات المستغلة المعروفة. تتطلب هذه الإجراءات من الوكالات الفيدرالية معالجة هذه الثغرات بحلول 27 أكتوبر 2025 لتخفيف المخاطر الناتجة عن الاستغلالات المستمرة. من بين الإضافات ثغرة حرجة في أوراكل تم تصحيحها مؤخرًا بعد استغلالها من قبل فاعلين في البرمجيات الخبيثة للابتزاز.
قامت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) مؤخرًا بتحديث كتالوج الثغرات المستغلة المعروفة (KEV) من خلال إدراج سبع ثغرات محددة تؤثر على منتجات برمجية متنوعة. تشمل هذه الإضافات ثغرات في أوراكل E-Business Suite ومنتجات موزيلا ومايكروسوفت ويندوز ونواة لينكس ومتصفح مايكروسوفت إنترنت إكسبلورر.
الثغرات المدرجة هي:
- CVE-2010-3765: ثغرة تنفيذ كود عن بعد في منتجات موزيلا المتعددة
- CVE-2010-3962: ثغرة تلف ذاكرة غير مُهيأة في مايكروسوفت إنترنت إكسبلورر
- CVE-2011-3402: ثغرة تنفيذ كود عن بعد في مايكروسوفت ويندوز
- CVE-2013-3918: ثغرة كتابة خارج الحدود في مايكروسوفت ويندوز
- CVE-2021-22555: ثغرة كتابة خارج الحدود في كومة نواة لينكس
- CVE-2021-43226: ثغرة تصعيد الامتيازات في مايكروسوفت ويندوز
- CVE-2025-61882: ثغرة غير محددة في أوراكل E-Business Suite
إدخال بارز هو CVE-2025-61882، وهي ثغرة حرجة بنقاط CVSS 9.8 في إصدارات أوراكل E-Business Suite من 12.2.3 إلى 12.2.14، خاصة في مكون تكامل BI Publisher في معالجة أوراكل المتزامنة. هذا الأسبوع، أصدرت أوراكل تصحيحًا طارئًا لها. تسمح الثغرة للمهاجمين عن بعد غير المصادق عليهم بالحصول على السيطرة عبر HTTP وقد استُغلت من قبل مجموعة البرمجيات الخبيثة Cl0p للابتزاز في هجمات سرقة البيانات. يصف الخبراء أنها سهلة الاستغلال.
بعض الثغرات المضافة قديمة بشكل ملحوظ، مثل CVE-2013-3918، التي تعود إلى عام 2013. تم استخدام هذه الثغرة في البداية من قبل مجموعة التهديد المستمر المتقدمة المسؤولة عن هجوم أورورا في 2009. في عام 2015، أفادت كاسبرسكي أن الفاعل الدولي المعروف باسم مجموعة المعادلة قد التقط وأعاد استخدام الاستغلال لاستهداف مستخدمي الحكومة في أفغانستان.
بموجب التوجيه التشغيلي الملزم (BOD) 22-01، يجب على وكالات الفرع التنفيذي المدني الفيدرالي إصلاح هذه الثغرات في كتالوج KEV بحلول التواريخ المحددة لحماية شبكاتها. حددت CISA 27 أكتوبر 2025 كموعد نهائي للوكالات الفيدرالية لإصلاحها. يحث خبراء الأمن المنظمات الخاصة على مراجعة الكتالوج وتصحيح الأنظمة المتضررة فورًا لمنع استغلال مشابه.