أصدرت شركات Fortinet و Ivanti و SAP تحديثات أمنية لمعالجة ثغرات أمنية حرجة متعددة يمكن أن تؤدي إلى تنفيذ تعليمات برمجية عشوائية وكشف المعلومات. تعد الثغرات الأمنية مصدر قلق دائم للمؤسسات التي تسعى لحماية بياناتها وأنظمتها.
تتعلق الثغرة الأمنية التي عالجتها Fortinet بانحقاق الأوامر في واجهة الويب الخاصة بـ FortiSandbox و FortiSandbox Cloud و FortiSandbox PaaS. تم تعيين هذه الثغرة بالمعرف CVE-2026-25089، وتحمل درجة خطورة 9.1 على مقياس CVSS.
“قد يسمح الخلل في التحقق من صحة العناصر الخاصة المستخدمة في أمر نظام التشغيل [CWE-78] في واجهة الويب لـ FortiSandbox و FortiSandbox Cloud و FortiSandbox PaaS لمهاجم غير مصادق عليه بتنفيذ أوامر غير مصرح بها عبر طلبات HTTP مصممة بشكل خاص،” صرحت Fortinet.
تواجه المنتجات والإصدارات التالية هذا الخلل.
تأثير الثغرات الأمنية على أنظمة Fortinet
تؤثر الثغرة الأمنية المحددة في منتجات Fortinet على إصدارات معينة تتطلب تحديثًا فوريًا. يشمل ذلك FortiSandbox من الإصدار 5.0.0 إلى 5.0.5، والإصدارات الأقدم مثل 4.4.0 إلى 4.4.8.
وبشكل مشابه، تتطلب إصدارات FortiSandbox Cloud و FortiSandbox PaaS من 5.0.4 إلى 5.0.5 التحديث إلى الإصدار 5.0.6 أو أعلى لضمان الأمان.
معالجة Ivanti لثغرات أمنية خطيرة
في يوم الثلاثاء، نشرت Ivanti أيضًا إصلاحات لخللين أمنيين حرجين يؤثران على Ivanti Sentry (المعروف سابقًا باسم MobileIron Sentry). هذان الخلان هما CVE-2026-10520 بدرجة خطورة 10.0، و CVE-2026-10523 بدرجة خطورة 9.9.
يسمح الخلل الأول، وهو ثغرة انحقاق أوامر نظام التشغيل، لمستخدم بعيد غير مصادق عليه بتنفيذ تعليمات برمجية عن بعد على مستوى الجذر (root). أما الخلل الثاني، فهو ثغرة تجاوز المصادقة، مما يمكّن مهاجمًا غير مصادق عليه من إنشاء حسابات إدارية اعتباطية والحصول على وصول إداري كامل.
أوضحت شركة watchTowr Labs، التي نشرت تفاصيل إضافية حول CVE-2026-10520، أن المهاجم يمكنه استغلال الثغرة عن طريق إرسال طلب HTTP مصمم خصيصًا لنقطة النهاية “/mics/api/v2/sentry/mics-config/handleMessage”.
تتضمن التحديثات التي أصدرتها Ivanti ضوابط إضافية تمنع الوصول إلى نقطة النهاية الضعيفة، مما يؤدي إلى إعادة توجيه الطلبات غير المصادق عليها إلى صفحة تسجيل الدخول.
تحديثات SAP لسد ثغرات متعددة
بالإضافة إلى ذلك، قامت SAP بإصدار تحديثات لأربعة ثغرات أمنية حرجة في NetWeaver AS ABAP و ABAP Platform، بالإضافة إلى SAP Commerce Cloud و SAP Data Hub. تشمل هذه الثغرات CVE-2026-44748 (درجة 9.9)، و CVE-2026-27671 (درجة 9.8)، و CVE-2026-22732 (درجة 9.1)، و CVE-2026-40128 (درجة 9.0).
بحسب شركة SAP الأمنية Onapsis، فإن الثغرة CVE-2026-44748 تسمح للمهاجم المصادق عليه بالحصول على رسالة موقعة صالحة وإرسال مستندات XML معدلة إلى المدقق، مما يؤدي إلى خداع النظام وقبول معلومات الهوية المعدلة.
أما بالنسبة للثغرة CVE-2026-27671، فهي تسمح لمهاجم غير مصادق عليه بإرسال طلب RFC مصمم خصيصًا يستغل كيفية التحقق من بروتوكول RFC بواسطة نواة SAP لتحقيق تلف في الذاكرة.
لا يوجد حاليًا أي دليل على استغلال هذه الثغرات المذكورة في البرية. ومع ذلك، يُنصح دائمًا بالتحديث إلى أحدث الإصدارات لضمان أقصى درجات الحماية.