مهاجمون مكثوا شهرين داخل «عقل» جدار الحماية لدى «تشيك بوينت»... والسهم يرتفع

أمر grep الذي يكشف ما جرى في يوليو

في مكان ما هذا الأسبوع، يجري أحد مسؤولي الأنظمة أمر grep من سطر واحد على سجلات الجهاز الذي يكتب سياسات جدار الحماية للشركة بأكملها. النشرة الأمنية لـ«تشيك بوينت» تطلب ذلك تحديداً: البحث عن أسماء دخول تتجاوز حدها المعتاد↗ هو الطريقة التي تعرف بها المؤسسة ما إذا كانت ثغرة CVE-2026-93616، وهي اجتياز مسار قبل المصادقة (Path Traversal) بدرجة خطورة 9.8 من 10، قد سمحت لطرف مجهول بتشغيل سكريبتات على خادم الإدارة من دون كلمة مرور ¹. ويقول آرون بيردسلي، مدير أبحاث التهديدات في Securonix↗ ²: «لا حاجة إلى كسر جدار الحماية ما دمت تستطيع أن تملي عليه ما يسمح به».

تمسّك المهاجمون بهذا الموقع من 23 يوليو حتى صدور الإصلاح في 22 سبتمبر↗ ¹³. وفي الأسبوع نفسه، اخترق السهم متوسطه المتحرك على 200 يوم↗ ⁴.

شهران من الصمت... ثم ثلاثة أيام من القانون

أدرجت CISA ثغرتَي «تشيك بوينت»، كلتيهما بدرجة خطورة 9.8، في دفعة واحدة من قائمة الثغرات المستغَلّة المعروفة (Known Exploited Vulnerabilities) يوم 22 سبتمبر، مانحةً الوكالات الفيدرالية مهلة تنتهي في 25 سبتمبر بموجب التوجيه التشغيلي BOD 26-04↗ ³⁵. امتدت نافذة صمت الشركة المطوّرة شهرين ¹، فيما لم تتجاوز نافذة المعالجة الحكومية ثلاثة أيام ³⁵.

الإصلاح لا يصل إلى الجميع. فجميع إصدارات R80 وR81 القديمة متأثرة وخارج الدعم، ولذلك تبقى الترقية وحدها المعالجة الممكنة، لا الإصلاح العاجل↗ ¹⁶. وخادم إدارة رُقّي بالقدر الذي يكفي لمعالجة ثغرة الشبكة الافتراضية الخاصة (VPN) المنفصلة في سبتمبر لا يزال داخل مدى هذه الثغرة ⁶.

الآلاف المكشوفة بوابات لا «العقل»

الأجهزة المكشوفة على الإنترنت من «تشيك بوينت»، التي تجاوز عددها 13 ألف جهاز في الإحصاء العالمي ليونيو 2024، هي بوابات VPN؛ أي إنها السطح الذي تستهدفه الثغرة المرافقة CVE-2026-85102، لا مستوى الإدارة المخترق ⁵. جرى إصلاح تلك الثغرة في 9 سبتمبر، وأصدر المركز الوطني الهولندي للأمن السيبراني (NCSC) بحلول 10 منه تحذيراً من استغلال وشيك، ثم قال لوتيم فينكلستين، نائب رئيس الأبحاث في «تشيك بوينت»، إن موجة من محاولات الاستهداف طالت عملاء Spark اعتباراً من 12 منه↗ ⁷⁸. خوادم الإدارة يُفترض ألا تكون مكشوفة على الإنترنت مطلقاً ².

وهكذا تختلف أوامر grep. فالمؤسسات المستخدمة للبوابات تدقق سجلات VPN رجوعاً إلى 12 سبتمبر↗ ⁵؛ أما المؤسسات المستخدمة لخوادم الإدارة، حيث كان الخادم قابلاً للوصول على أي حال، فتفتش عن آثار تمتد على مدى شهرين ¹.

السوق يدفع 141 دولاراً ثمناً للهدوء

في 24 سبتمبر اخترق السهم متوسطه المتحرك على 200 يوم البالغ 134.13 دولاراً ولامس 141.29 دولاراً، في شركة بقيمة 13.92 مليار دولار عند مكرر ربحية 13.95 مرة ⁴. وحقق الربع المنتهي في يونيو إيرادات بلغت 673.6 مليون دولار، بنمو 1.3% على أساس سنوي، فيما جاءت ربحية السهم فوق التقديرات عند 2.55 دولار مقابل 2.45 دولار ⁴.

خارطة طريق الذكاء الاصطناعي لم تتوقف قط

وبينما ظلت ثغرة يوم الصفر (Zero-Day) صامتة، نشرت الشركة موجزاً عن نماذج ذكاء اصطناعي تجاوزت حدود بيئات اختبارها المحصورة↗ ¹⁰، ودمجت نماذج OpenAI السيبرانية «ديبريك» (Daybreak) في «كيستون» (Keystone)، خط إدارة الأمن ذاته، بعضه دخل الإنتاج فعلاً↗ ¹¹. وعلى «كيستون» الآن أن يجيب: هل يرث نموذج الثقة الذي احترق للتو؟

تقول «تشيك بوينت» إن الوصول إلى النماذج مقيد، وإن المخرجات تخضع للتحقق قبل أن تتخذ الأنظمة إجراءاتها ¹¹. ومعادلة نطاق الضرر لم تتغير: «إذا كانت وحدة تحكم واحدة تدير خمسين بوابة، فإن اختراقها أسوأ بخمسين مرة من اختراق أي بوابة بمفردها»، كما يقول فرانك ديكسون من «ديكسون ريسيرش» ².

مبررات العلاوة

جاءت الهجمات دقيقة الاستهداف وطالت عدداً محدوداً من العملاء، وتتوافر إصلاحات لكل إصدار ما زال مدعوماً ¹³. فالمنتجات الأمنية برمجيات، والبرمجيات لا تخلو من الأخطاء ². ويمنح 27 محللاً السهم تصنيف «الإبقاء» (Hold) بسعر مستهدف إجماعي يبلغ 148.74 دولار — هزّة كتف، لا دعوة للخروج ⁴.

تبقى العلاوة، في الوقت الحالي، مع «تشيك بوينت» وحاملي أسهمها. أما الخطر المتبقي فيقع على عاتق المؤسسات المستخدمة لإصدارات R80 وR81 خارج الدعم، التي لا إصلاحاً عاجلاً لديها لتثبّته، وإنما ترقية تنتظر الميزانية ¹⁶.

راقبوا أمر grep، لا شريط الأسهم

تثبيت الإصلاحات يغلق الباب، لكنه لا يُخرج من دخل منه في يوليو ². والعلامة الكاشفة ستكون أول مؤسسة تكتشف ذلك. السهم أدلى بصوته؛ أما السجلات فلم تفعل بعد.