الأمن التقني

استغلال ثغرات AhsayCBS غير المُرقّعة لتنفيذ أوامر عن بُعد

تواجه أنظمة النسخ الاحتياطي السحابي AhsayCBS هجمات نشطة في العالم الحقيقي، حيث يستغل المهاجمون ثغرات أمنية حرجة غير مُرقّعة لتنفيذ أوامر خبيثة.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 9 أكتوبر 2026 · آخر تحديث: 9 أكتوبر 2026 · 3 دقائق قراءة

استغلال ثغرات AhsayCBS غير المُرقّعة لتنفيذ أوامر عن بُعد — الصورة: SecurityWeek

تحذير عاجل من استغلال نشط

أصدرت شركة الأمن السيبراني Huntress تحذيراً عاجلاً يفيد بأن مهاجمين يستغلون حالياً ثغرتين أمنيتين غير مُرقّعتين في حل النسخ الاحتياطي السحابي AhsayCBS. تتيح هذه الثغرات، المسجلة تحت المعرفات CVE-2026-105133 وCVE-2026-105134، للمهاجرين تجاوز آليات المصادقة وتنفيذ أوامر نظام التشغيل (OS commands) على الخوادم المستهدفة. وتُعد هذه الثغرات حرجة نظراً لطبيعة البرنامج الذي يدير سياسات النسخ الاحتياطي والتخزين وإدارة المستخدمين، مما يجعله هدفاً جذاباً للجهات الخبيثة.

تفاصيل الثغرات وتاريخ الكشف

تمت تسليط الضوء على هذه الثغرات في 4 أكتوبر، عندما أصدر المعهد الوطني الأمريكي للمعايير والتقنية (NIST) تحذيراً بشأن إطلاق كود استغلال يستهدفها. وأفاد NIST بأن جميع إصدارات AhsayCBS حتى الإصدار 10.3.2 كانت معرضة للخطر. ومع ذلك، كشفت شركة Huntress يوم الخميس أن الإصدار الأحدث، 10.3.4، يعاني أيضاً من هذه الثغرات، مما يعني أن جميع المستخدمين الحاليين للنظام معرضون للخطر في غياب تصحيح برمجي. وتسمح الثغرات للمهاجرين بالتلاعب بحجوظ معينة في وظائف محددة من البرنامج لتجاوز المصادقة حقن أوامر نظام التشغيل.

آلية الهجوم وتفاصيل التقنية

وفقاً لتحليلات Huntress، يقوم المهاجمون بسلسلة (Chaining) بين الثغرتين للوصول إلى الأنظمة الضعيفة وتنفيذ أكواد عشوائية. وتُعد ثغرة CVE-2026-105134 خاصةً خطيرة، حيث يمكن استغلالها لتنفيذ أوامر عن بُعد (RCE) بصلاحيات النظام (System) عبر واجهة برمجة تطبيقات (API) مكوّن 'Replication Receiver'. وتوضح الشركة أن الواجهة تحتوي على ثغرة تجاوز مصادقة تسمح باستبدال بيانات الاعتماد الصالحة برمز عشوائي (Random Token). وبعد الاستغلال، قام المهاجمون بإعداد مستقبل (Receiver) خبيث وإسقاط صفحة ويب شل (JSP Webshell) في مجلد التطبيق الذي يخدمه تطبيق CBS.

أنشطة المهاجمين بعد الاختراق

بعد تحقيق الوصول الأولي، أجرى المهاجمون عمليات استطلاع (Reconnaissance) ونشروا مناجم عملات رقمية من نوع XMRig مقنعة على أنها متصفح Microsoft Edge. كما زرعوا سكربت PowerShell مدعوماً بالذكاء الاصطناعي لمراقبة مدير المهام (Task Manager) وإنهائه إذا بقي مفتوحاً لفترة طويلة، مما يعيق جهود الكشف اليدوي. ولتحقيق الاستمرارية (Persistence)، أنشأ المهاجمون خدمة Windows مقنعة على أنها تحديث Microsoft Edge، لتنفيذ نسخة معدلة من أداة NSSM المشروعة تحت اسم msedge.exe بصلاحيات النظام.

استخدام برامج تشغيل نواة خبيثة

في إحدى الهجمات، نشر المهاجمون برنامج تشغيل نواة (Kernel Driver) مشروعا لكنه يعاني من ثغرات، وهو WinRing0x64.sys. مكّن هذا البرنامج تشغيل منجم العملات الرقمية بصلاحيات مستوى النواة (Kernel-level access)، مما يجعله أصعب في الكشف والإزالة. ويستخدم المهاجمون أداة NSSM لضمان بقاء البرامج الخبيثة قيد التشغيل وإعادة تشغيلها بعد الأعطال أو إعادة التشغيل، مع تمويه الملف الثنائي المرتبط بالخدمة على أنه ملف شرعي المظهر.

التوصيات والإجراءات الوقائية

نظراً لعدم توفر تصحيح برمجي (Patch) حتى الآن، توصي Huntress المؤسسات بضرورة تقييد الوصول إلى واجهة إدارة AhsayCBS. وتشير الشركة إلى أن الاستغلال يستهدف خدمة تطبيق الويب القابلة للوصول من الخارج على المضيف، لذا يجب تقييد الوصول لعناوين IP موثوقة فقط أو اشتراط استخدام شبكات خاصة افتراضية (VPN). كما تنصح الشركة بالتحقيق الفوري في أي علامات اختراق محتملة على الأنظمة التي تعمل بهذا البرنامج. وحتى 8 أكتوبر، تم استهداف خمس مؤسسات على الأقل، مما يؤكد على خطورة الوضع الحالي.