تحلیل فنی دفاعی و منبع‌محور: آسیب‌پذیری CVE-2026-18963 در Siemens Industrial Edge Management

مفاهیم و زمینه‌شناسی آسیب‌پذیری CVE-2026-18963

آسیب‌پذیری CVE-2026-18963 که در مشاوره امنیتی CISA با شناسه ICSA-26-265-06 ثبت شده است، یک نقص احراز هویت در سامانه مدیریت لبه صنعتی زیمنس (Siemens Industrial Edge Management) محسوب می‌شود. بر اساس اطلاعات منبع، این نقص در جریان بازنشانی اعتبارنامه (reset-credentials) مؤلفه keycloak-services رخ می‌دهد که موتور اصلی مدیریت هویت و دسترسی در این پلتفرم است. ماهیت فنی این آسیب‌پذیری به مهاجم راه دور و بدون احراز هویت اجازه می‌دهد تا فرآیند بازنشانی رمز عبور هر کاربری را بدون نیاز به کلیک بر روی لینک تأیید ایمیل، به‌اجرا درآورد و در نتیجه کنترل کامل حساب کاربری هدف را از طریق تنظیم مستقیم اعتبارنامه جدید به دست بگیرد.

این آسیب‌پذیری در طبقه‌بندی CWE-640 با عنوان «مکانیزم ضعیف بازیابی رمز عبور فراموش‌شده» قرار می‌گیرد که نشان‌دهنده ضعف بنیادین در طراحی فرآیند بازیابی اعتبارنامه است. بر اساس داده‌های مشاوره، نسخه‌های آسیب‌پذیر شامل Industrial Edge Management Cloud (همه نسخه‌ها)، Pro V1 (نسخه‌های 1.14.9 تا قبل از 1.15.20)، Pro V2 (نسخه‌های 2.2.0 تا قبل از 2.2.2) و Virtual (نسخه‌های 2.6.0 تا قبل از 2.9.1) هستند. امتیاز پایه CVSS نسخه 3.1 برای این نقص برابر 9.1 و در سطح بحرانی (CRITICAL) ارزیابی شده است که با بردار AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N مشخص می‌شود.

بخش‌های زیرساختی حیاتی مرتبط با این محصول، بخش تولید حیاتی (Critical Manufacturing) است و دامنه استقرار آن در سطح جهانی گزارش شده است. شرکت زیمنس به‌عنوان تولیدکننده مستقر در آلمان، این آسیب‌پذیری را از طریق تیم ProductCERT خود به CISA گزارش کرده است. لازم به ذکر است که تحلیل حاضر صرفاً بر اساس اطلاعات منتشرشده در مشاوره CISA و ارجاع به CVE-2026-18963 انجام شده و هیچ جزئیات فنی خارج از متن منبع به آن افزوده نشده است. توصیه می‌شود خوانندگان برای دریافت اطلاعات تکمیلی و به‌روز، به مشاوره امنیتی زیمنس با شناسه SSA-503852 مراجعه کنند.

• مؤلفه آسیب‌پذیر: جریان reset-credentials در keycloak-services
• طبقه‌بندی CWE: CWE-640 (مکانیزم ضعیف بازیابی رمز عبور)
• بردار حمله: شبکه‌ای، بدون نیاز به احراز هویت قبلی
• امتیاز CVSS v3.1: 9.1 (بحرانی)
• محصولات آسیب‌پذیر: Cloud، Pro V1، Pro V2 و Virtual

1. شناسایی نسخه دقیق محصول Industrial Edge Management نصب‌شده در محیط سازمانی
2. مقایسه نسخه شناسایی‌شده با محدوده‌های آسیب‌پذیر اعلام‌شده در مشاوره CISA
3. اولویت‌بندی اقدامات اصلاحی بر اساس سطح دسترسی شبکه و اهمیت سامانه

شواهد و تله‌متری رسمی

بر اساس داده‌های منتشرشده توسط CISA در تاریخ ۲۲ سپتامبر ۲۰۲۶ (شماره مشاوره ICSA-26-265-06)، یک آسیب‌پذیری بحرانی با شناسه CVE-2026-18963 در محصولات Siemens Industrial Edge Management شناسایی شده است. این آسیب‌پذیری از نوع ضعف در مکانیزم بازیابی رمز عبور (CWE-640) بوده و به مهاجم راه دور و بدون احراز هویت اجازه می‌دهد تا فرآیند بازنشانی رمز عبور هر کاربر را بدون نیاز به کلیک بر روی لینک تأیید ایمیل، انجام دهد. این نقص در مؤلفه keycloak-services که موتور اصلی مدیریت هویت و دسترسی در Red Hat Build of Keycloak است، یافت شده است.

بردار حمله این آسیب‌پذیری از نوع شبکه (AV:N) با پیچیدگی پایین (AC:L) و بدون نیاز به احراز هویت (PR:N) است. تأثیر آن بر محرمانگی و یکپارچگی داده‌ها در سطح بالا (C:H/I:H) ارزیابی شده و امتیاز پایه CVSS نسخه ۳.۱ برابر ۹.۱ (بحرانی) است. لازم به ذکر است که تأثیر بر در دسترس بودن (A) در این بردار صفر گزارش شده است. این ارزیابی صرفاً مبتنی بر داده‌های رسمی ارائه‌شده در مشاوره CISA بوده و هرگونه تفسیر اضافی درباره شدت یا پیامدهای عملیاتی خارج از محدوده این تحلیل است.

نسخه‌های آسیب‌پذیر شامل Industrial Edge Management Cloud (همه نسخه‌ها)، Industrial Edge Management Pro V1 (نسخه‌های 1.14.9 تا قبل از 1.15.20)، Industrial Edge Management Pro V2 (نسخه‌های 2.2.0 تا قبل از 2.2.2) و Industrial Edge Management Virtual (نسخه‌های 2.6.0 تا قبل از 2.9.1) می‌باشند. وضعیت این محصولات در جدول رسمی به‌عنوان known_affected ثبت شده است. بخش‌های زیرساخت حیاتی مرتبط با این محصولات شامل تولید حیاتی (Critical Manufacturing) بوده و استقرار آن در سطح جهانی گزارش شده است.

• بردار حمله: شبکه (AV:N) با پیچیدگی پایین (AC:L) و بدون نیاز به احراز هویت (PR:N)
• تأثیر: نقض محرمانگی و یکپارچگی در سطح بالا (C:H/I:H) بدون تأثیر بر در دسترس بودن (A:N)
• امتیاز CVSS نسخه ۳.۱: ۹.۱ (بحرانی)
• شناسه CWE مرتبط: CWE-640 (مکانیزم ضعیف بازیابی رمز عبور فراموش‌شده)
• نسخه‌های آسیب‌پذیر: Cloud (همه)، Pro V1 (>=1.14.9 و <1.15.20)، Pro V2 (>=2.2.0 و <2.2.2)، Virtual (>=2.6.0 و <2.9.1)

1. برای تأیید جزئیات فنی، به مشاوره رسمی CISA با شناسه ICSA-26-265-06 مراجعه کنید.
2. نسخه دقیق محصولات Industrial Edge Management خود را با جدول نسخه‌های آسیب‌پذیر مقایسه کنید.
3. در صورت قرار گرفتن در محدوده آسیب‌پذیر، اقدامات اصلاحی ارائه‌شده توسط فروشنده را مطابق اولویت‌بندی ریسک اجرا کنید.

گردش کار شناسایی و ارزیابی

برای شناسایی سیستم‌های آسیب‌پذیر در محیط‌های صنعتی، ابتدا باید محدوده نسخه‌های متأثر از CVE-2026-18963 به‌دقت بررسی شود. بر اساس اطلاعات منتشرشده توسط CISA، نسخه‌های Industrial Edge Management Pro V1 (نسخه‌های 1.14.9 تا قبل از 1.15.20)، Pro V2 (نسخه‌های 2.2.0 تا قبل از 2.2.2)، Virtual (نسخه‌های 2.6.0 تا قبل از 2.9.1) و تمام نسخه‌های Cloud در معرض این آسیب‌پذیری قرار دارند. این ارزیابی باید با استفاده از فایل‌های پیکربندی، خروجی‌های مدیریتی یا ابزارهای موجود در پلتفرم انجام شود و صرفاً به مستندات فنی تکیه نکند.

پس از شناسایی نسخه‌ها، معیارهای اولویت‌بندی باید بر اساس میزان دسترسی شبکه به سرویس‌های مدیریتی تعیین شود. سیستم‌هایی که به‌صورت مستقیم از طریق اینترنت قابل دسترسی هستند، در بالاترین سطح اولویت قرار می‌گیرند؛ زیرا آسیب‌پذیری مذکور قابلیت بهره‌برداری از راه دور و بدون نیاز به احراز هویت را دارد. برای سیستم‌های موجود در شبکه‌های داخلی ایزوله، ریسک کمتر است، اما همچنان باید به‌عنوان بخشی از فرآیند ارزیابی در نظر گرفته شوند.

در این مرحله، توصیه می‌شود که ارزیابی به‌صورت دوره‌ای و با استفاده از روش‌های غیرتهاجمی مانند بررسی نسخه‌ها از طریق رابط‌های مدیریتی یا فایل‌های گزارش انجام شود. هرگونه اسکن فعال باید با مجوز کتبی و مطابق با سیاست‌های امنیتی سازمان انجام گیرد. همچنین، برای جلوگیری از اختلال در عملیات، ارزیابی باید در پنجره‌های زمانی کم‌تراکم برنامه‌ریزی شود.

• بررسی نسخه‌های متأثر: Pro V1 (>=1.14.9 و <1.15.20)، Pro V2 (>=2.2.0 و <2.2.2)، Virtual (>=2.6.0 و <2.9.1) و Cloud (همه نسخه‌ها).
• اولویت‌بندی بر اساس دسترسی شبکه: سیستم‌های در معرض اینترنت در اولویت اول، سیستم‌های داخلی با دسترسی محدود در اولویت دوم.
• مستندسازی یافته‌ها در قالب جدول ارزیابی ریسک برای پیگیری اقدامات اصلاحی.

1. شناسایی تمام نمونه‌های Industrial Edge Management در محیط با استفاده از ابزارهای مدیریتی یا فهرست‌های دارایی.
2. استخراج نسخه دقیق هر نمونه از طریق رابط مدیریتی یا فایل‌های پیکربندی.
3. مقایسه نسخه‌های شناسایی‌شده با محدوده‌های آسیب‌پذیر ذکرشده در advisory.
4. تعیین سطح دسترسی شبکه برای هر نمونه (مستقیم، از طریق پروکسی، یا ایزوله).
5. اولویت‌بندی نمونه‌ها بر اساس ترکیب نسخه آسیب‌پذیر و سطح دسترسی.

روند بررسی و تشخیص (Triage)

در گام نخست، لازم است وضعیت دسترسی‌پذیری مسیر حساس «/auth/realms/customer/login-actions/reset-credentials» در نمونه‌های Industrial Edge Management (IEM) به‌صورت دقیق بررسی شود. این مسیر، نقطه‌ی ورود اصلی برای بهره‌برداری از آسیب‌پذیری CVE-2026-18963 است که به‌عنوان یک نقص در سازوکار بازیابی رمز عبور Keycloak شناسایی شده است. توصیه می‌شود تیم‌های دفاعی ابتدا با استفاده از ابزارهای مانیتورینگ ترافیک شبکه یا بررسی لاگ‌های Reverse Proxy، هرگونه درخواست رسیده به این مسیر را از منابع داخلی و خارجی شناسایی و ثبت کنند. این کار به تفکیک تلاش‌های عادی از حملات احتمالی کمک می‌کند.

دومین اقدام، ارزیابی وضعیت فعال بودن قابلیت «Forgot password» در تنظیمات Realm مربوط به Keycloak است. اگر این قابلیت در محیط موردنظر غیرفعال باشد، ریسک بهره‌برداری به‌طور قابل توجهی کاهش می‌یابد. برای این بررسی، پیشنهاد می‌شود از طریق کنسول مدیریتی Keycloak به بخش «Identity & access management > realm settings > Login» مراجعه کرده و گزینه‌ی «Forgot password» را در وضعیت «Off» قرار دهید. در صورت فعال بودن این گزینه، باید بلافاصله نسبت به اعمال وصله‌های امنیتی ارائه‌شده توسط فروشنده اقدام کرد، زیرا این وضعیت به‌طور مستقیم سطح حمله را افزایش می‌دهد.

در نهایت، ارزیابی احتمال بهره‌برداری از طریق شبکه‌ی خارجی باید بر اساس معماری شبکه‌ای انجام شود. اگر نمونه‌های IEM Pro یا IEM Virtual به‌طور مستقیم در معرض اینترنت قرار دارند، احتمال حمله‌ی از راه دور بدون نیاز به احراز هویت وجود دارد. در این سناریو، توصیه‌ی اصلی مسدودسازی دسترسی مستقیم به این نمونه‌ها از طریق فایروال یا قرار دادن آن‌ها در پشت یک WAF یا Reverse Proxy است. لازم به ذکر است که این اقدامات صرفاً جنبه‌ی کاهش ریسک دارند و جایگزین اعمال وصله‌های امنیتی رسمی نمی‌شوند. همچنین، هرگونه تصمیم‌گیری در مورد غیرفعال کردن قابلیت بازیابی رمز باید با در نظر گرفتن الزامات عملیاتی و با هماهنگی تیم پشتیبانی انجام شود.

• بررسی لاگ‌های دسترسی به مسیر «/auth/realms/customer/login-actions/reset-credentials» برای شناسایی درخواست‌های غیرعادی از منابع ناشناس.
• تأیید وضعیت غیرفعال بودن گزینه‌ی «Forgot password» در تنظیمات Realm کی‌کلواک برای کاهش سطح حمله.
• ارزیابی دسترسی‌پذیری نمونه‌های IEM از طریق اینترنت و اعمال قوانین فایروال برای مسدودسازی دسترسی مستقیم.

1. مراجعه به کنسول مدیریتی Keycloak و بررسی وضعیت گزینه‌ی «Forgot password» در بخش Realm Settings.
2. بررسی پیکربندی شبکه و شناسایی هرگونه مسیر دسترسی مستقیم به نمونه‌های IEM از بیرون.
3. اعمال قوانین فایروال یا WAF برای مسدودسازی مسیر آسیب‌پذیر در صورت نیاز عملیاتی.

مثبت‌های کاذب و موارد مرزی

در ارزیابی‌های امنیتی، تمایز میان سیستم‌های واقعاً آسیب‌پذیر و نمونه‌هایی که صرفاً در بازه نسخه‌ای متأثر قرار دارند، از اهمیت بالایی برخوردار است. بر اساس اطلاعات منتشرشده توسط CISA، نسخه‌های اصلاحی شامل Industrial Edge Management Pro V1.15.20 و بالاتر، Pro V2.2.2 و بالاتر، و Virtual V2.9.1 و بالاتر به‌عنوان نسخه‌های امن اعلام شده‌اند. بنابراین، هر سیستمی که به این نسخه‌ها به‌روزرسانی شده باشد، نباید در اسکن‌های آسیب‌پذیری به‌عنوان مورد مثبت علامت‌گذاری شود، مگر آنکه شواهد دیگری از پیکربندی ناایمن وجود داشته باشد.

یکی از موارد مرزی مهم، وجود لایه‌های دفاعی مانند Web Application Firewall (WAF) یا Reverse Proxy است که مسیر آسیب‌پذیر یعنی /auth/realms/customer/login-actions/reset-credentials را مسدود می‌کنند. در چنین شرایطی، اگرچه نسخه نرم‌افزار همچنان در بازه متأثر قرار دارد، اما بهره‌برداری عملی از آسیب‌پذیری از طریق این مسیر مسدود شده است. با این حال، باید توجه داشت که مسدودسازی مسیر توسط WAF به‌معنای رفع ریشه‌ای مشکل نیست و صرفاً یک اقدام موقت است. همچنین، اگر WAF به‌درستی پیکربندی نشده باشد یا امکان دور زدن آن وجود داشته باشد، سیستم همچنان در معرض خطر باقی می‌ماند.

مورد مرزی دیگر، غیرفعال‌سازی قابلیت بازیابی رمز عبور در تنظیمات Keycloak است. طبق توصیه‌های Siemens، غیرفعال کردن گزینه «Forgot password» در تنظیمات realm، عملاً مسیر حمله را از بین می‌برد. اما این اقدام نیز موقتی است و در صورت فعال‌سازی مجدد این قابلیت، آسیب‌پذیری بازخواهد گشت. همچنین، برای نسخه Cloud، به‌روزرسانی خودکار در تاریخ 2026-09-02 انجام شده و کاربران نیازی به اقدام ندارند؛ بنابراین، اسکن‌هایی که بر اساس نسخه‌های اعلام‌شده انجام می‌شوند، باید این مورد را در نظر بگیرند و سیستم‌های Cloud را به‌عنوان غیرآسیب‌پذیر علامت‌گذاری کنند.

در نهایت، توصیه می‌شود که در فرآیند ارزیابی، علاوه بر بررسی نسخه نرم‌افزار، وضعیت اقدامات جبرانی مانند مسدودسازی مسیر یا غیرفعال‌سازی بازیابی رمز عبور نیز مورد راستی‌آزمایی قرار گیرد. این کار از ایجاد مثبت‌های کاذب جلوگیری کرده و تصویر دقیق‌تری از وضعیت امنیتی واقعی ارائه می‌دهد. با این حال، هرگونه تصمیم‌گیری نهایی باید بر اساس مستندات فنی و پیکربندی واقعی سیستم انجام شود و صرفاً به وجود WAF یا تنظیمات موقت اکتفا نشود.

• نسخه‌های اصلاحی: V1.15.20+، V2.2.2+، V2.9.1+
• مسدودسازی مسیر توسط WAF یا Reverse Proxy
• غیرفعال‌سازی بازیابی رمز عبور در Keycloak
• به‌روزرسانی خودکار برای نسخه Cloud

محدودیت‌های اطلاعاتی و تحلیلی

بر اساس advisory منتشرشده توسط CISA با شناسه ICSA-26-265-06، آسیب‌پذیری CVE-2026-18963 در مؤلفه keycloak-services از Siemens Industrial Edge Management شناسایی شده است. با این حال، سند مذکور حاوی جزئیات فنی کاملی درباره مکانیزم دقیق حمله در فرآیند reset-credentials نیست. به‌ویژه، مشخص نیست که آیا بهره‌برداری موفق نیاز به تعامل کاربر دارد یا صرفاً از طریق درخواست‌های HTTP قابل انجام است. همچنین، هیچ اشاره‌ای به وجود بهره‌برداری‌های فعال در طبیعت (exploits in the wild) در این advisory نشده است.

علاوه بر این، محدوده تحت پوشش این advisory تنها به محصولات Industrial Edge Management محدود می‌شود و سایر محصولات زیمنس که ممکن است از Keycloak استفاده کنند، در این سند پوشش داده نشده‌اند. به‌عنوان مثال، هیچ اطلاعاتی درباره تأثیر این آسیب‌پذیری بر زیرساخت‌های ابری یا نسخه‌های قدیمی‌تر ارائه نشده است. همچنین، بردار حمله (attack vector) به‌صورت شبکه‌ای (AV:N) و پیچیدگی پایین (AC:L) اعلام شده، اما جزئیات مربوط به پیش‌شرط‌های محیطی یا نیازمندی‌های پیکربندی خاص در متن advisory ذکر نشده است.

لازم به ذکر است که CISA در این advisory هیچ راهنمایی درباره شناسایی یا کشف حملات مرتبط با این آسیب‌پذیری ارائه نکرده است. همچنین، هیچ شاخص سازش (IOC) یا الگوی ترافیکی مشخصی برای تشخیص فعالیت‌های مخرب در سند وجود ندارد. بنابراین، تحلیل‌گران باید صرفاً به اطلاعات موجود در advisory و توصیه‌های امنیتی ارائه‌شده اکتفا کنند و از هرگونه حدس یا استنتاج فراتر از داده‌های مستند خودداری نمایند.

در نهایت، با توجه به اینکه این advisory در تاریخ ۲۲ سپتامبر ۲۰۲۶ منتشر شده و به‌روزرسانی‌های امنیتی برای نسخه‌های مختلف ارائه گردیده، اما اطلاعاتی درباره زمان دقیق کشف آسیب‌پذیری یا روند هماهنگی افشای آن در دسترس نیست. این محدودیت‌ها باید در هرگونه تحلیل تهدید یا ارزیابی ریسک لحاظ شود تا از ارائه تحلیل‌های ناقص یا گمراه‌کننده جلوگیری گردد.

• عدم وجود جزئیات فنی درباره مکانیزم دقیق حمله در Keycloak
• عدم اشاره به بهره‌برداری‌های فعال در طبیعت
• پوشش ندادن سایر محصولات زیمنس که ممکن است از Keycloak استفاده کنند
• فقدان شاخص‌های سازش (IOC) یا الگوهای تشخیصی در advisory

شاخص‌های اندازه‌گیری و معیارهای موفقیت

برای ارزیابی اثربخشی اقدامات امنیتی در برابر آسیب‌پذیری احراز هویت در Siemens Industrial Edge Management، تعریف شاخص‌های قابل سنجش ضروری است. این شاخص‌ها باید بر اساس اهداف اصلاحی ارائه‌شده توسط CISA و بدون تعیین آستانه‌های عددی خاص، به‌گونه‌ای طراحی شوند که امکان پایش مستمر وضعیت امنیتی را فراهم آورند. معیارهای پیشنهادی عمدتاً بر میزان پوشش به‌روزرسانی‌ها، پیکربندی صحیح مؤلفه‌های دفاعی و زمان واکنش به هشدارهای امنیتی متمرکز هستند.

نخستین معیار، درصد سیستم‌هایی است که به نسخه‌های اصلاحی ارائه‌شده توسط فروشنده ارتقا یافته‌اند. این معیار باید به‌صورت دوره‌ای و برای هر یک از نسخه‌های متأثر (Cloud، Pro V1، Pro V2 و Virtual) به‌طور جداگانه اندازه‌گیری شود. هدف، دستیابی به پوشش کامل به‌روزرسانی در تمام محیط‌های عملیاتی است، اما تعیین عدد مشخص به‌عنوان آستانه موفقیت، بسته به شرایط هر سازمان و ریسک‌پذیری آن متفاوت خواهد بود. توصیه می‌شود این شاخص به‌همراه جزئیات نسخه‌ها و تاریخ اعمال به‌روزرسانی در یک داشبورد مدیریتی ثبت شود.

دومین معیار، تعداد سیستم‌هایی است که در آن‌ها مسیر آسیب‌پذیر از طریق Web Application Firewall (WAF) یا Reverse Proxy مسدود شده است. این معیار باید به‌صورت تجمیعی و تفکیک‌شده بر اساس نوع مؤلفه (WAF یا Reverse Proxy) گزارش شود. همچنین لازم است وضعیت غیرفعال‌سازی قابلیت بازیابی رمز عبور در تنظیمات Keycloak برای هر نمونه به‌عنوان یک شاخص تکمیلی پایش شود. در نظر گرفتن این معیارها به‌ویژه برای محیط‌هایی که به‌دلایل عملیاتی امکان قطع کامل دسترسی اینترنتی را ندارند، حائز اهمیت است.

سومین معیار، زمان پاسخ به advisoryهای امنیتی است. این زمان از لحظه انتشار هشدار رسمی (مانند ICSA-26-265-06) تا اجرای اقدامات اصلاحی یا کاهش‌دهنده ریسک اندازه‌گیری می‌شود. هدف، کاهش این زمان به حداقل ممکن است، اما تعیین عدد دقیق به‌عنوان معیار موفقیت، نیازمند تحلیل ریسک سازمانی و ظرفیت تیم واکنش به رویداد است. پیشنهاد می‌شود این شاخص به‌همراه جزئیات مراحل انجام‌شده (شناسایی، ارزیابی، اقدام) ثبت و به‌صورت دوره‌ای بازبینی شود.

• درصد سیستم‌های به‌روزرسانی‌شده به نسخه‌های اصلاحی (به‌تفکیک نسخه‌های متأثر)
• تعداد سیستم‌های دارای WAF یا Reverse Proxy با مسیر آسیب‌پذیر مسدودشده
• وضعیت غیرفعال‌سازی قابلیت بازیابی رمز عبور در تنظیمات Keycloak
• زمان پاسخ به advisoryهای امنیتی از لحظه انتشار تا اجرای اقدام اصلاحی

1. شناسایی تمام نمونه‌های Industrial Edge Management در محیط و ثبت نسخه دقیق آن‌ها
2. بررسی مستمر کانال‌های رسمی CISA و Siemens برای دریافت advisoryهای جدید
3. اعمال به‌روزرسانی‌های امنیتی ارائه‌شده در سریع‌ترین زمان ممکن و ثبت تاریخ انجام
4. پیکربندی WAF یا Reverse Proxy برای مسدودسازی مسیر آسیب‌پذیر و تست صحت پیکربندی
5. غیرفعال‌سازی قابلیت بازیابی رمز عبور در Keycloak در صورت عدم نیاز عملیاتی
6. مستندسازی تمام اقدامات انجام‌شده و گزارش دوره‌ای شاخص‌ها به مدیریت

عملیاتی‌سازی و اقدامات اصلاحی

بر اساس توصیه‌های رسمی منتشرشده توسط CISA و Siemens، آسیب‌پذیری CVE-2026-18963 در سامانه مدیریت لبه صنعتی زیمنس (Industrial Edge Management) با امتیاز بحرانی 9.1 از نوع دور زدن احراز هویت شناسایی شده است. این نقص در فرآیند بازیابی رمز عبور مؤلفه Keycloak رخ می‌دهد و به مهاجم راه دور و بدون نیاز به احراز هویت امکان می‌دهد تا با دور زدن تأیید ایمیلی، رمز عبور کاربران را بازنشانی کرده و کنترل کامل حساب‌های کاربری را در اختیار بگیرد. نسخه‌های آسیب‌پذیر شامل Cloud (همه نسخه‌ها)، Pro V1 (نسخه‌های 1.14.9 تا قبل از 1.15.20)، Pro V2 (نسخه‌های 2.2.0 تا قبل از 2.2.2) و Virtual (نسخه‌های 2.6.0 تا قبل از 2.9.1) هستند.

مؤثرترین اقدام فوری که توسط منبع رسمی توصیه شده، مسدودسازی کامل دسترسی مستقیم اینترنت به نمونه‌های IEM Pro و IEM Virtual است. این اقدام تضمین می‌کند که هیچ حمله خارجی از طریق این آسیب‌پذیری امکان‌پذیر نباشد. در شرایطی که مسدودسازی کامل دسترسی اینترنت بلافاصله قابل اجرا نیست، پیکربندی Web Application Firewall (WAF) یا Reverse Proxy برای مسدودسازی مسیر آسیب‌پذیر «/auth/realms/customer/login-actions/reset-credentials» به عنوان اقدام جایگزین توصیه شده است. لازم به ذکر است که با مسدودسازی این مسیر، قابلیت بازنشانی رمز عبور در دسترس کاربران نخواهد بود.

اقدام اصلاحی دیگری که در توصیه‌نامه رسمی ذکر شده، غیرفعال‌سازی قابلیت بازنشانی رمز عبور در تنظیمات Realm کی‌کلواک است. این کار از طریق مسیر «Identity & access management > realm settings > Login > Forgot password > Off» انجام می‌شود. همچنین به‌روزرسانی به نسخه‌های اصلاح‌شده V1.15.20، V2.2.2 و V2.9.1 به عنوان راه‌حل قطعی فروشنده تعیین شده است. برای سرویس ابری، آسیب‌پذیری در تاریخ 2026-08-26 با قوانین فایروال کاهش یافته و در تاریخ 2026-09-02 با به‌روزرسانی برطرف شده است.

• مسدودسازی دسترسی مستقیم اینترنت به IEM Pro و IEM Virtual به عنوان مؤثرترین اقدام فوری
• پیکربندی WAF یا Reverse Proxy برای مسدودسازی مسیر آسیب‌پذیر بازنشانی رمز عبور
• غیرفعال‌سازی قابلیت «Forgot password» در تنظیمات Realm کی‌کلواک
• به‌روزرسانی به نسخه‌های V1.15.20، V2.2.2 یا V2.9.1 بسته به محصول مورد استفاده

1. شناسایی نسخه دقیق محصول Industrial Edge Management نصب‌شده در محیط عملیاتی
2. اعمال مسدودسازی دسترسی اینترنت یا پیکربندی WAF/Reverse Proxy برای مسیر آسیب‌پذیر
3. غیرفعال‌سازی موقت بازنشانی رمز عبور در تنظیمات Realm کی‌کلواک تا زمان اعمال به‌روزرسانی
4. برنامه‌ریزی و اجرای به‌روزرسانی به نسخه‌های اصلاح‌شده اعلام‌شده توسط فروشنده