«ساب» ترقّع ثغرةً خطورتها 10 من 10 قد ترسل بيانات اعتماد وكلاء الذكاء الاصطناعي إلى المهاجمين.. ونتائج الأعمال في 21 أكتوبر

مُعامل واحد في الرابط كان يحمل المفاتيح

أصدرت «ساب»▲+1.11% — «ساب», up 1.11 percent today في يوم رقعها الأمني لشهر أكتوبر 22 نشرة أمنية جديدة ومحدّثة بتاريخ 13 أكتوبر 2026، أربع منها مصنّفة «حرجة» ¹. وأخطرها الثغرة CVE-2026-89111، وهي ثغرة تزوير طلبات من جانب الخادم سجّلت 10.0↗ من 10 على مقياس الخطورة المعياري، وأُصلحت في الإصدار 0.45.2 من حزمة الأدوات السحابية للغة «بايثون»، وهي عدّة «ساب» الرسمية لبناء وكلاء الذكاء الاصطناعي وتطبيقات «بايثون» على سحابة منصة «ساب» للأعمال التقنية (Business Technology Platform) ¹²⁴.

تستخدم الحزمة قيمة تحمل الاسم tenant_subdomain لتحديد العميل الذي ينتمي إليه الطلب. فإذا زُوّدت بقيمة مُعدّة بعناية، تبني الحزمة طلب الرمز المميز حولها، فترسل معرّف التطبيق ومفتاحه السري في OAuth2↗ — وهما بيانات الاعتماد الدائمة التي تستخدمها البرمجيات للمصادقة على سحابة «ساب» — إلى خادم يسيطر عليه المهاجم ². ولا تتطلب العملية تسجيل دخول أو امتيازات أو خداعاً للمستخدم ³.

التوقيت يتقاطع مع المال مباشرة. يتداول سهم «ساب» عند 28.6 ضعف الأرباح، بسعر 220.10 دولار مقابل متوسط السعر المستهدف لدى المحللين البالغ 264.71 دولار، على أن تُعلن نتائج الربع الثالث بعد إغلاق السوق في 21 أكتوبر: إجماع المحللين عند 2.04 دولار للسهم الواحد وإيرادات 11.45 مليار دولار↗، بعد ربع يوليو الذي خيّب التوقعات بربحية 1.82 دولار مقابل تقدير 2.00 دولار ⁵.

الإصلاح صدر في أغسطس وانتكس في سبتمبر

وصل فحص التحقق الذي يصدّ النطاقات الفرعية المُعدّة بعناية لأول مرة في 21 أغسطس ضمن الإصدار 0.45.2، وأُدرج حينها تحت بند «إصلاحات الأخطاء» من دون أي إشارة إلى الأمان، فيما صدرت النشرة الأمنية بعد 53 يوماً ⁶. وقبل ذلك الإصدار، لم يكن أي إصدار من الحزمة يتضمن الفحص ⁶.

نقلت ستة إصدارات نُشرت بين 10 و18 سبتمبر، وترقيمها من 0.53.0 إلى 0.55.0، معالجة الرموز المميزة في وحدة خدمة «Destination» إلى شيفرة مشتركة جديدة تتجاوز الفحص ⁶. أما إصداران على الفرع الأقدم 0.36، نُشرا بعد إصلاح أغسطس، فلم يحملاه قط ⁶.

لا تُدرج النشرة الأمنية أي إصدار أعلى من 0.45.2 ضمن المتأثرة، ولا توضح هي ولا ملاحظات الإصدار ما إذا كانت إصدارات سبتمبر الستة تندرج تحت هذه الثغرة، أو ما إذا كان على التطبيقات التي شغّلتها استبدال بيانات اعتمادها ⁶. أما أحدث إصدار، 0.58.4، فيجتاز جميع الاختبارات الأحد عشر التي وضعتها «ساب» نفسها ⁶.

أخطر ثغرات «ساب» تُستغل خلال أيام

تكتسب هذه الرقعة أهميتها من أن ثغرات «ساب» الحرجة الأخيرة لا تبقى نظرية. فثغرة أغسطس ذات الخطورة القصوى في «كوميرس كلاود» (Commerce Cloud) رُصد استغلالها فعلياً بعد أيام من رقعها↗ ⁴. أما ثغرة سبتمبر CVE-2026-44756 فقد بقيت مكشوفة على أكثر من 10 آلاف نظام متصل بالإنترنت، بحسب إحصاء شركة الأمن السيبراني «أونابسيس» (Onapsis) التي أبلغت عنها ⁴. وتحتفظ «سي آي إس إيه» (CISA)، وكالة الأمن السيبراني الأميركية، في فهرسها للثغرات المستغلة بـ14 ثغرة تخص «ساب» تعود إلى نوفمبر 2021، ثلاث منها مرتبطة ببرمجيات الفدية ⁴.

العلاوة السعرية التي تطالها الثغرة

تحت الضجيج الأمني، يواصل نشاط «ساب» نموه المركّب: فقد تجاوزت الإيرادات مستواها في الربع المناظر من العام السابق على مدى 12 ربعاً متتالياً، وبلغت 11.2 مليار دولار في ربع يونيو ⁷. وتأتي القراءة التالية مع تقرير نتائج 21 أكتوبر، فيما يتوقع المحللون إيرادات بقيمة 11.45 مليار دولار ⁵.

لا هجمات محددة حتى الآن و21 أكتوبر موعد تسعير العلاوة

لم يُؤكَّد أي استغلال للثغرة الجديدة، وهي غير مدرجة في فهرس «سي آي إس إيه» ⁸. وقد أصدرت «ساب» رقعة وحلاً بديلاً↗، عبارة عن قائمة سماح بالنطاقات الفرعية للمستأجرين المسجلين ². ويستند السيناريو المتفائل إلى نمو الرصيد السحابي الجاري (current cloud backlog) بنسبة 26 في المئة، أي العقود السحابية الموقعة التي لم تُسجَّل بعد ضمن الإيرادات، وإلى «جول» (Joule)، مساعد «ساب» الذكي الذي تُفيد التقارير بأنه يرفع الإنتاجية بنسبة تصل إلى 20 في المئة ⁵. غير أن أياً من الرقمين لا يستعيد بيانات اعتماد سبق أن وصلت إلى الخادم الخطأ.

وتترك النشرة الأمنية لكل عميل قرار استبدال بيانات الاعتماد التي ربما تكون قد انكشفت ⁶. وأي تطبيق لا يزال يعمل بإصدار غير مُرقَّع قد تصل بيانات اعتماد وكيله إلى خادم المهاجم عبر معامل واحد معدّ بعناية ². وكان السهم يتداول بالفعل عند مستوى أدنى بنسبة 27 في المئة من ذروته التي سجلها في سبتمبر، وسط شكوك حول خارطة طريق الذكاء الاصطناعي، فيما يستمر برنامج لإعادة شراء الأسهم في الخلفية ⁹.

قراءتان تحسمان ملامح الأسبوع: هل تُستغل ثغرة CVE-2026-89111 خلال أيام من رقعها كما حدث مع ثغرة «كوميرس كلاود» في أغسطس، وهل يُظهر تقرير النتائج في 21 أكتوبر أن إيرادات السحابة هي ما يتحمل العلاوة السعرية ⁴.