ثغرة اليوم الصفري خلل برمجي يستغله المهاجمون قبل أن يصدر مطوّرو البرنامج إصلاحًا له. ويأتي الاسم من موقع المدافع: فعندما يبدأ الهجوم، يكون أمام المورّد صفر أيام لحماية عملائه. وقد كان أغسطس 2026 تذكيرًا واضحًا بكيفية تطور هذه الهجمات، إذ شهد الشهر نفسه ثغرة في Windows استغلتها مجموعة مدعومة من دولة، وخادم لإدارة الطباعة اختطفه مهاجمون دون مصادقة.
يشرح هذا المقال ما حدث ومن تأثر، والخطوات العملية التي تقلّل تعرّضك لثغرة اليوم الصفري التالية، تلك التي لا يستطيع أحد إصلاحها مسبقًا.
ما الذي حدث في أغسطس
Windows: الثغرة CVE-2026-68820 التي استغلتها مجموعة Lazarus
في 11 أغسطس، أصلح التحديث الأمني الشهري من Microsoft نحو 400 ثغرة. وكانت إحداها، CVE-2026-68820، مستغلة بالفعل. وهي خلل من نوع «استخدام الذاكرة بعد تحريرها» في afd.sys، برنامج تشغيل Windows الذي يقف خلف حزمة الشبكات WinSock. ويمكن لمهاجم يملك موطئ قدم على جهاز ما، ولو بحساب منخفض الصلاحيات، استخدامها للحصول على سيطرة كاملة بصلاحيات SYSTEM.
ربط باحثو Check Point، الذين أبلغوا عن الثغرة، استغلالها بمجموعة Lazarus التي ترعاها كوريا الشمالية. واستخدمتها المجموعة لتثبيت نسخة جديدة من FudModule، أداة التخفي الخاصة بها على مستوى النواة، المصممة لتعطيل أدوات الأمان من عمق نظام التشغيل. وأضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة إلى فهرس الثغرات المستغلة المعروفة في اليوم نفسه، ومنحت الوكالات الفيدرالية الأمريكية مهلة حتى 25 أغسطس لتطبيق الإصلاح.
وأصلح التحديث نفسه ثغرتين أخريين نُشرت تفاصيلهما قبل توفر إصلاح: CVE-2026-62832 في خدمة ملفات تعريف المستخدمين في Windows، والتي قد تسمح لمستخدم محلي بالحصول على صلاحيات المسؤول، وCVE-2026-72971 في برنامج تشغيل لتصفية الحاويات في Windows. ولم يتأكد استغلال أي منهما، لكن التفاصيل المنشورة تقصّر الوقت قبل أن يبدأ المهاجمون في استخدامهما.
PaperCut: الاستيلاء على خوادم الطباعة دون مصادقة
في 27 أغسطس، حذّرت PaperCut من أن مهاجمين يستغلون ثغرة لم تكن معروفة من قبل في PaperCut NG وMF، برنامج إدارة الطباعة المستخدم على نطاق واسع في المدارس والجامعات والبلديات والشركات. وسمحت الثغرة، التي سُجلت لاحقًا باسم CVE-2026-81578 وCVE-2026-82078، لمهاجم دون تسجيل دخول بتغيير إعدادات الخادم ثم تشغيل شيفرته الخاصة عليه.
أكدت شركة الأمن Huntress وقوع الاستغلال في بيئتين لعملائها. وفي إحداهما استغرق الاختراق كله أقل من دقيقتين: نفّذ المهاجم أوامر استطلاع لرسم صورة عن الخادم، وأسقط حمولة صغيرة بلغة Java، وجمع ما وجده، ثم حذف ملفاته وسجل التطبيق لإخفاء آثاره. ولاحظت Huntress أيضًا أن نحو 47% من قرابة 2,500 تثبيت لـ PaperCut تراقبها كانت تعمل بالإصدار 23 أو أقدم، ولم يكن لها إصلاح في البداية.
أصدرت PaperCut فورًا إصدارات طارئة للإصدارين 25 و26، ووسّعت الإصلاحات لتشمل الإصدار 24 في اليوم التالي.
لماذا تهم ثغرات اليوم الصفري كل مؤسسة
من المغري الاعتقاد بأن ثغرات اليوم الصفري تخص الحكومات والشركات الكبرى وحدها. لكن أغسطس أثبت العكس:
- كانت الأهداف برامج يومية. فنظام Windows وخادم الطباعة موجودان في كل مكتب تقريبًا. والمهاجمون يذهبون حيث تنتشر البرامج.
- واجهات الإدارة المكشوفة هي الباب الأمامي. لم تنجح هجمات PaperCut إلا ضد الخوادم التي كانت واجهتها على الويب متاحة من الإنترنت. وكثير من المؤسسات لا تدرك كم لوحة إدارة لديها مكشوفة.
- تصعيد الصلاحيات يحوّل الاختراق الصغير إلى كبير. تحتاج ثغرة Windows إلى موطئ قدم مسبق، يأتي عادة من رسالة تصيّد أو كلمة مرور مسروقة. وبمجرد الدخول، تحوّل ثغرة اليوم الصفري حسابًا محدودًا إلى سيطرة كاملة.
- المهاجمون يمحون آثارهم. فحذف السجلات يعني أن الضحية قد لا تعرف أبدًا ما الذي أُخذ، ما لم تكن هناك مراقبة مستقلة.
كيف تحمي نفسك قبل الثغرة التالية
بحكم التعريف، لا يمكنك إصلاح ثغرة اليوم الصفري قبل وجود الإصلاح. لكن يمكنك تقليل منافذ الدخول، وجعل الهجوم الناجح أقل ضررًا، وتقصير الوقت بين ظهور الإصلاح وتثبيته.
1. طبّق الإصلاحات بسرعة فور صدورها
يقع معظم الضرر الفعلي في الأيام والأسابيع التي تلي صدور الإصلاح، حين يحلّل المهاجمون التحديث بالهندسة العكسية. فعّل التحديثات التلقائية لنظام Windows والمتصفحات والهواتف. وبالنسبة للخوادم وتطبيقات الأعمال، حدّد هدفًا: الإصلاحات الحرجة للأنظمة المتصلة بالإنترنت خلال 48 ساعة، والباقي خلال 14 يومًا. واشترك في النشرات الأمنية لمورّديك الرئيسيين وفي قائمة الثغرات المستغلة المعروفة لدى CISA.
2. أبعد واجهات الإدارة عن الإنترنت
لا ينبغي أن تكون خوادم الطباعة وأدوات الوصول عن بُعد وجدران الحماية والموجّهات وكاميرات المراقبة ولوحات التحكم بالمواقع متاحة لأي شخص على الإنترنت. ضعها خلف شبكة VPN أو قصر الوصول إليها على عناوين IP معروفة. هذه الخطوة وحدها كانت ستمنع هجمات PaperCut تمامًا.
3. اعرف ما تشغّله
احتفظ بقائمة محدّثة بأنظمتك وإصدارات برامجك، بما فيها تلك التي لا يفكر فيها أحد، مثل إدارة الطباعة وأنظمة المباني والخوادم القديمة. فلا يمكنك إصلاح ما لا تعرف بوجوده.
4. ألغِ صلاحيات المسؤول المحلي
لا ينبغي أن تكون حسابات الاستخدام اليومي حسابات مسؤول. ومع المصادقة متعددة العوامل على البريد الإلكتروني والوصول عن بُعد، يصبح الحصول على موطئ القدم الأولي الذي تعتمد عليه ثغرات تصعيد الصلاحيات أصعب بكثير.
5. اكتشف، ولا تكتفِ بالوقاية
استخدم أنظمة الكشف عن التهديدات والاستجابة لها على الأجهزة (EDR) في الحواسيب المحمولة والخوادم، وأرسل السجلات إلى نظام منفصل لا يستطيع المهاجم حذفه بسهولة. وراقب علامات الإنذار التي ظهرت في أغسطس: برامج خوادم تشغّل واجهات أوامر، وملفات غير متوقعة تظهر في مجلدات التطبيقات، وسجلات تختفي فجأة.
6. خطّط لليوم العصيب
احتفظ بنسخ احتياطية غير متصلة أو غير قابلة للتعديل، واختبر قدرتك على استعادتها. واكتب مسبقًا بمن ستتصل وكيف ستعزل الأنظمة، قبل أن تحتاج إلى ذلك. فخطة حوادث قصيرة ومُجرّبة أفضل من خطة طويلة لم تُختبر.
إذا كنت تعتقد أنك تأثرت
إذا كنت تستخدم PaperCut NG أو MF وكانت واجهته على الويب متاحة من الإنترنت في أغسطس، فلا تكتفِ بالتحديث والمضي قدمًا. احفظ أولًا سجلات الخادم وإعداداته، ثم ابحث عن ملفات .class غير متوقعة في مجلد lib على الخادم، وعن ملفات سجلات مفقودة أو مبتورة. فالتحديث أو إعادة التشغيل قد يدمّر أدلة ستحتاجها لفهم ما حدث.
بالنسبة إلى Windows، تأكد من تثبيت تحديثات أغسطس على كل الأجهزة، لا على معظمها فقط. فخادم واحد غير محدّث يكفي.
يمكن لفريق الاستجابة للحوادث لدينا مساعدتك على البحث عن مؤشرات الاختراق وحفظ الأدلة بالطريقة الصحيحة وسدّ الثغرات. تواصل معنا أو اتصل على +44 7520 644325 في أي وقت.