حين يصبح مفتاح الصيانة مفتاحاً للاختراق
في تسعين دقيقة، أرسل مهاجم أوامر إلى 288 حاسوباً تابعة لـ48 مؤسسة. لم يكسر قفلاً ولم يستغل ثغرة معلنة. دخل من الباب الذي تدخل منه فرق الصيانة كل صباح.
هذه خلاصة نشرة أصدرتها المديرية العامة لأمن نظم المعلومات (DGSSI) يوم 12 نونبر 2026. وهي واحدة من ست نشرات على الأقل في اليوم نفسه، تشهد بذلك أرقامها المرجعية المتتالية. أربع نشرات أخرى أحصت أكثر من 220 ثغرة في منتجات Fortinet وAdobe وIvanti وApache. أما النشرة التي لا تحمل رقم ثغرة واحداً، فهي التي تستحق التوقف.
يوم عادي في نشرات الأمن السيبراني
النشرات الأربع تتبع إيقاعاً مألوفاً. يعلن المورّد ثغرات وينشر تصحيحات، وتنبّه المديرية ثم تحيل على بلاغات المورّد.
- Fortinet: نحو 96 ثغرة في جدران الحماية وشبكات VPN ومنصات إدارة الشبكات والبريد. بعضها يسمح بتنفيذ شيفرة عن بعد ورفع الصلاحيات وتجاوز آليات الحماية.
- Adobe: نحو 110 ثغرات في Photoshop وPremiere وAfter Effects وAudition وMedia Encoder وExperience Manager، وأخرى.
- Ivanti: 13 ثغرة في أدوات إدارة الأجهزة المحمولة وحواسيب المؤسسات.
- Apache HTTP Server: ثلاث ثغرات، أخطرها في وحدة HTTP/2. تسمح لمهاجم غير مُصادَق، من أي مكان، بتنفيذ شيفرة على الخادم.
نشر المورّدون الثلاثة الأوائل تصحيحاتهم في 10 نونبر، وتبعتهم Apache. الحل في هذه الحالات معروف: حدّث.
وهنا المفارقة الأولى. ثلاث من هذه العلامات، Fortinet وIvanti وApache، تصنع أدوات وُجدت لتحمي الشبكات أو تديرها أو تشغّلها. لكن النشرة الخامسة تذهب أبعد من ذلك بكثير.
هجوم بلا ثغرة
النشرة الخامسة تخص ConnectWise ScreenConnect، وهي أداة تحكم عن بعد تستعملها شركات «الخدمات المعلوماتية المُدارة» (MSP). هذه شركات تتكفّل بصيانة حواسيب مؤسسات أخرى وأنظمتها مقابل عقد.
بحسب بلاغ ConnectWise كما نقلته المديرية، سيطر المهاجم على لوحات الإدارة لستة مزوّدين على الأقل يستعملون النسخة السحابية. ومنها شغّل وظيفة «Run Command»، وهي الوظيفة نفسها التي يصلح بها التقني جهاز زبونه دون أن يتنقل إليه.
لم يسرق المهاجم بيانات فقط. زرع أداة سُمّيت «SCKit»، وتصف النشرة ما تفعله:
- تثبّت نسخة من ScreenConnect يتحكم فيها المهاجم، مكان النسخة الشرعية.
- تضيف استثناءات في برنامج الحماية Microsoft Defender.
- تستعمل AppLocker لمنع أدوات المعالجة التي تنشرها فرق المعلوميات من العمل.
- تحاول سرقة جلسات التقنيين، ثم القفز إلى لوحات مزوّدين آخرين.
المهاجم إذن لا يكتفي بالدخول. يمنع المدافع من استعمال أدواته، ثم يحاول الانتشار من مزوّد إلى مزوّد.
نقطة التحول: أين الثغرة؟
تقول ConnectWise إنها لم تجد أي ثغرة في ScreenConnect، ولا أي اختراق لبنيتها. وما زال طريق الدخول الأول قيد التحقيق.
لكن الباحثين ربطوا الحملة، على الأرجح، بإضافة خارجية اسمها RMM+. الإصداران 1.0.31 و1.0.32 منها يعانيان ضعفاً في المصادقة. إذا لم يضبط المسؤول مفتاح الدخول أصلاً، فقد تقبل الإضافة مفتاحاً فارغاً.
إذا صح هذا الربط، فالسؤال عن المسؤول ليس له جواب واحد. المورّد يقول إن منتجه سليم. والإضافة صنعها طرف ثالث. والمزوّد لم يضبط المفتاح. والمؤسسة الزبونة لا تعرف على الأرجح أن هذه الإضافة موجودة على أجهزتها.
كل حلقة في هذه السلسلة وثقت في الحلقة التالية. والمهاجم لم يحتج إلى أكثر من أضعفها.
لهذا تقول المديرية صراحة إن تحديث البرنامج لا يكفي لضمان إزالة الاختراق. فالتحديث يصلح الكود، لا ما فعله المهاجم بالثقة. والمطلوب، بحسب النشرة، تحقيق في السجلات وإلغاء الجلسات وتجديد كلمات المرور. ومن توصياتها أيضاً أن تسأل كل مؤسسة مزوّدها: ما أدوات التحكم عن بعد التي تستعملها؟ ما الإضافات المثبّتة؟ ومن يملك صلاحية تنفيذ أوامر على أجهزة أكثر من زبون؟
هذه توصية تقنية في ظاهرها. في عمقها، تطلب من المؤسسة أن تراقب من تدفع له ليراقب أجهزتها.
ليست المرة الأولى
ScreenConnect ليست غريبة على هذا النوع من الأخبار. ففي فبراير 2024، رُصد استغلال ثغرات ScreenConnect في هجمات فدية LockBit ابتداءً من 21 فبراير. وفي 2025 أقرّت ConnectWise في 28 ماي بأنها تعاملت مع نشاط مشبوه في بيئتها، مسّ “عدداً صغيراً جداً” من زبناء ScreenConnect. scworldhuntress
والظاهرة أوسع من أداة واحدة. فبحسب تقرير لشركة Huntress، جاءت 17.3% من أساليب الوصول عن بعد التي استعملها المهاجمون سنة 2024 من إساءة استخدام أدوات الإدارة عن بعد. وأصدرت المديرية نفسها، قبل هذه الحملة، نشرتين عن ثغرات في ScreenConnect خلال 2026. huntress
النمط واضح. المهاجمون لا يطاردون الأجهزة واحداً واحداً. يبحثون عن اليد التي تملك مفاتيح الجميع.
أين المغرب من هذا؟
لا تقول النشرة إن مؤسسة مغربية تضررت. وبعض مؤشرات الاختراق التي نشرتها، مثل ملفات تصيّد تنتحل صفة إدارة الضمان الاجتماعي الأمريكية، توحي بأن الأهداف الأولى في الولايات المتحدة.
لكن السؤال الذي تطرحه الحملة لا يتوقف عند الحدود. فكثير من المقاولات الصغيرة والمتوسطة تسلّم صيانة حواسيبها لشركة خارجية أو لتقني مستقل، ويحدث ذلك في المغرب كما في غيره. كم منها يعرف ما الأدوات المثبتة على أجهزته؟ ومن يستطيع تشغيل أمر عليها في منتصف الليل؟ لا توجد معطيات منشورة تجيب عن ذلك، وهذا الغياب جزء من المشكلة.
ونشرة Adobe تخص فئة أقرب مما نظن: الصحفي والمونتير والمصمم وصانع المحتوى. Premiere وPhotoshop وAfter Effects أدوات عمل يومية في غرف الأخبار. وثغرات هذا الصنف من البرامج تُستغل عادة عبر ملف يبدو عادياً، يصل في رسالة أو يُحمَّل من الإنترنت. نسخة لم تُحدّث منذ شهور ليست تفصيلاً تقنياً. إنها باب مفتوح في غرفة التحرير.
كلمة أخيرة
اعتدنا أن يكون السؤال الأمني: هل حدّثت برامجك؟ نشرة 12 نونبر تطرح سؤالاً أصعب: من يملك مفاتيح حواسيبك، ومن يملك مفاتيحه هو؟
تمثّلون مؤسسة ورد ذكرها في هذه المادة؟ أرسلوا حق الرد
