سازمان امنیت سایبری و زیرساخت ایالات متحده (CISA)، چهار آسیب‌پذیری جدید متعلق به IBM، SignalWire FreeSwitch، OpenSSH و GPUStack را به فهرست آسیب‌پذیری‌های مورد بهره‌برداری شناخته‌شده (Known Exploited Vulnerabilities یا KEV) اضافه کرد. این اقدام به دلیل مشاهده بهره‌برداری فعال (Active Exploitation) از این حفره‌ها در محیط‌های عملیاتی صورت گرفته است.
تحلیل آسیب‌پذیری‌های شناسایی شده
۱. پلتفرم GPUStack (CVE-2026-102895):
این آسیب‌پذیری با امتیاز CVSS 9.8، مربوط به نقص در احراز هویت (Improper Authentication) است. GPUStack یک پلتفرم متن‌باز برای مدیریت کلاسترهای GPU و استقرار مدل‌های AI است. مهاجمان از راه دور و بدون نیاز به احراز هویت می‌توانند با جعل درخواست‌ها به گونه‌ای که گویی از سیستم محلی ارسال شده‌اند، دسترسی‌های مدیر (Administrator) را به دست آورند. این نقص منجر به افشای اطلاعات حساس، ایجاد API Keyهای دائمی برای مدیر و احتمال اجرای کد دلخواه (RCE) می‌شود. این مورد در نسخه‌های پیش از 2.2.0 مشاهده شده است.
۲. پلتفرم SignalWire FreeSWITCH (CVE-2026-116779):
این حفره با امتیاز CVSS 9.8، یک آسیب‌پذیری تزریق کد (Code Injection) است. مهاجمان می‌توانند با ارسال درخواست‌های SIP MESSAGE دستکاری‌شده و سوءاستفاده از پروتکل API chat، دستورات API مربوط به FreeSWITCH را اجرا کنند. بسته به پیکربندی سیستم، این حمله می‌تواند منجر به افشای اعتبارنامه‌ها (Credentials)، دستکاری تماس‌های تلفنی و اجرای دستورات سیستم‌عامل با سطح دسترسی پردازش FreeSWITCH شود. نسخه‌های پیش از 1.11.3 تحت تأثیر این نقص هستند.
۳. سرویس OpenSSH (CVE-2026-123158):
این آسیب‌پذیری با امتیاز CVSS 8.1، مربوط به دور زدن احراز هویت (Authentication Bypass) است. این نقص در شرایط خاص، زمانی که OpenSSH روی سیستم‌های لینوکسی با کتابخانه musl C و بدون استفاده از PAM (Pluggable Authentication Modules) اجرا می‌شود، رخ می‌دهد. در این حالت، سرور SSH ممکن است ورودی رمز عبور را به اشتباه به عنوان هش (Hash) رمز عبور تفسیر کند و به مهاجم اجازه دسترسی به حساب‌های هدف را بدهد. نسخه‌های پیش از 10.6p2 آسیب‌پذیر هستند.
۴. محصول IBM Aspera Faspex 5 (CVE-2026-123218):
این نقص با امتیاز CVSS 9.8، مربوط به مجوزدهی نادرست (Incorrect Authorization) است. یک کاربر احراز هویت شده می‌تواند با ارسال پیامی خاص، بررسی‌های مجوز را دور زده و به سطح دسترسی کامل مدیر دست یابد. این موضوع منجر به دسترسی به اطلاعات حساس و احتمال اختلال در عملکرد سیستم می‌شود. نسخه‌های 5.0.0 تا 5.0.19 تحت تأثیر هستند و IBM برای رفع آن نسخه 5.0.19 PL1 را منتشر کرده است.
توصیه‌های امنیتی
با توجه به دستورالعمل BOD 22-01، سازمان‌های دولتی موظف به رفع این آسیب‌پذیری‌ها تا تاریخ ۱۲ نوامبر ۲۰۲۶ هستند. با این حال، این تحلیل تأکید دارد که سازمان‌های خصوصی و مدیران SOC نیز باید فوراً زیرساخت‌های خود را بررسی کرده و به‌روزرسانی‌های مربوط به این چهار محصول را اعمال کنند تا از حملات احتمالی جلوگیری شود.
