Android
تخيل أنك تسلم هاتفك الذكي لإصلاحه، وبعد يومين تعود لتتسلمه وهو يعمل مجددًا بشكل ممتاز. لكن ما لن تدركه أبدًا هو أن جهازك قد حُقن بتعليمات برمجية خبيث، مما يتيح للمهاجمين اختراقه والوصول إليه حتى وإن كان مغلقًا بقفل الشاشة.
هذه هي بداية القصة التي شاركها باحثا مركز Kaspersky ICS CERT، ألكسندر كوزلوف وسيرجي أنوفرينكو، في مؤتمر Black Hat Asia 2026. وقد تمكنا من اكتشاف ثغرة أمنية تقلب المفاهيم السائدة عن أمان الهواتف الذكية وأجهزة إنترنت الأشياء رأسًا على عقب. ويكمن جوهرها في قلب رقاقات Qualcomm.
ما هي ذاكرة القراءة فقط للتمهيد (BootROM)؟
لفهم مدى خطورة هذا الاكتشاف، نحتاج أولاً إلى إلقاء نظرة على كيفية تشغيل الأجهزة الحديثة التي تعمل برقاقة Qualcomm. تخيل الأمر كأنه حصن منيع يتألف من طبقات أمنية متعددة، حيث تتحقق كل طبقة من تصريح المرور الصادر عن الطبقة التي تسبقها. أما حجر الأساس والقاعدة المتينة — الطبقة الأكثر موثوقية على الإطلاق — فهي ذاكرة BootROM، وهي ذاكرة قراءة فقط مدمجة مباشرة في رقاقة السيليكون، ولا يمكن تعديلها بمجرد خروجها من المصنع.
تُعد ذاكرة BootROM أول ما يبدأ في العمل بمجرد تشغيل الجهاز، وتتولى التحقق من التوقيع الرقمي لبرنامج التشغيل التالي، والذي يتحقق بدوره من البرنامج الذي يليه، مما يؤدي إلى بناء سلسلة موثوقية متكاملة تصل إلى نظام التشغيل. وإذا تمكن مهاجم من اختراق هذه السلسلة عند مستوى ذاكرة BootROM، فهذا يعني نهاية اللعبة؛ إذ سيتم تنفيذ التعليمات البرمجية الخبيثة قبل أن تتاح لنظام التشغيل الرئيسي فرصة التشغيل من الأساس.
هذا بالضبط ما يمكن للمهاجمين فعله من خلال استغلال الثغرة الأمنية CVE-2026-25262 التي اكتشفها باحثو Kaspersky ICS CERT.
وضع التنزيل الطارئ كنقطة اختراق
بدأ البحث من بروتوكول يُدعى Sahara، وهو أحد المكونات الأساسية لوضع التنزيل الطارئ (EDL). وتستخدم الشركات المصنعة ومراكز الصيانة هذا الوضع لإحياء الأجهزة المعطلة تمامًا: يتم توصيل الهاتف بجهاز الكمبيوتر عبر USB، ثم تُرفع إليه أداة برمجية خاصة موقعة رقميًا من قِبل الشركة المصنعة (وهي Qualcomm في هذه الحالة).
يتم تشغيل بروتوكول Sahara مباشرة داخل ARM PBL (محمل التمهيد الأساسي) – أي في ذاكرة BootROM نفسها. وهذا يعني أن البروتوكول يعمل قبل بدء تشغيل أي نظام تشغيل، وقبل التحقق من صلاحيات وصول المستخدم، وقبل تفعيل أي ضوابط أمان. وينتظر الجهاز ببساطة اتصال USB، ويكون جاهزًا لاستقبال البيانات.
تبدو آلية الاتصال بسيطة: يرسل الجهاز إشارة ترحيب (HELLO) إلى الكمبيوتر، ثم يحدد الكمبيوتر الوضع المطلوب، ليبدأ بعد ذلك تدفق برمجية الصيانة ورفعها على هيئة أجزاء أو كتل متتالية، وفي النهاية، ينفذ الجهاز التعليمات البرمجية التي تم رفعها. وهنا تحديدًا، ضمن آلية التحقق من أجزاء الملفات هذه، تم اكتشاف الثغرة الأمنية.
ثغرة الكتابة العشوائية في الذاكرة (Write-what-where): جوهر الثغرة الأمنية
من الناحية التقنية، يُصنف الخطأ الذي ارتكبه المطورون تحت فئة CWE-123، والمعروف بشرط “الكتابة العشوائية في الذاكرة” (Write-What-Where). وتُعد هذه الثغرة أسوأ ما يمكن مواجهته من عيوب في لغات البرمجة منخفضة المستوى. وهي تتيح للمهاجم كتابة أي بيانات يختارها في أي موقع يحدده داخل ذاكرة الجهاز.
دون الخوض في تفاصيل فنية معقدة، يكفي القول إن استغلال هذه الثغرة المكتشفة يتيح للمهاجمين الوصول إلى أي بيانات على الجهاز، بما في ذلك كلمات المرور التي يدخلها المستخدم، والملفات، وجهات الاتصال، وبيانات الموقع الجغرافي، بالإضافة إلى التحكم في المستشعرات مثل الكاميرا والميكروفون. وفي سيناريوهات معينة، يصبح فرض السيطرة الكاملة على الجهاز أمرًا ممكنًا. وكل ما يتطلبه الأمر هو بضع دقائق فقط من الوصول المادي إلى الجهاز عبر اتصال USB ليصبح مخترقًا تمامًا. وهذا يشكل خطرًا حقيقيًا إذا سلمت هاتفك الذكي إلى ورشة إصلاح، أو أعطيته لشخص آخر لإعداده وتثبيت التطبيقات عليه، أو حتى إذا تركته دون مراقبة.
ما الأجهزة المتأثرة بهذه الثغرة؟
تؤثر الثغرة الأمنية CVE-2026-25262 على سلسلة رقاقات Qualcomm التالية: MDM9x07 وMDM9x45 وMDM9x65 وMSM8909 وMSM8916 وMSM8952 وSDX50 – يشمل ذلك كل إصدار أُطلق منها حتى يومنا هذا، إلى حين قيام الشركة المصنعة بإصلاح هذا الخلل.
هذه الرقاقات ليست قطعًا أثرية متهالكة في متحف، فرقاقة MDM9207 — الذي اعتمدنا عليه في الجزء الأكبر من بحثنا — مدمج في وحدات المودم الخاصة بإنترنت الأشياء (IoT)، والمعدات الصناعية، وأجهزة المنازل الذكية، وأنظمة المراقبة الرعاية الصحية، وأجهزة تتبع الشحنات اللوجستية، وأجهزة الصراف والمعاملات البنكية. وتدير رقاقة MSM8916 العديد من الهواتف الذكية الاقتصادية، بينما يتم استخدام SDX50 في وحدات التحكم الخاصة بالسيارات.
كيف يجري اختراق الأجهزة المصابة بهذه الثغرة؟
مكمن الخطر هنا هو أن المهاجم يحتاج إلى الوصول المادي للجهاز لتنفيذ هذه العملية. وفي العالم الحقيقي، يترجم هذا السيناريو إلى ما يلي:
- إصلاح الهواتف الذكية في ورش الصيانة غير المعتمدة، حيث يُترك الهاتف هناك لعدة ساعات
- نقاط التفتيش الجمركية في بعض الدول، حيث يجري احتجاز الأجهزة وفحصها ثم إعادتها لأصحابها
- خدع المفقودات والمعثورات، حيث يُسرق هاتفك أولاً، ثم يتم التلاعب به وزرع البرامج الخبيثة فيه، ليُعثر عليه بعد ذلك بشكل غامض ومفاجئ
- التجسس على الشركات عبر عميل داخلي أو موظف مارق
خلال بضع دقائق فقط من الوصول المادي إلى الجهاز، يستطيع المهاجم زرع باب خلفي في عمق النظام، لدرجة أن أدوات الفحص والبحث القياسية لن تتمكن حتى من اكتشافه في معظم الحالات.
لماذا لا يوجد تصحيح – وما الذي يجب فعله؟
تلقّت شركة Qualcomm إخطارًا بهذا الاكتشاف في مارس 2025، وأكدت بالفعل وجود الثغرة الأمنية في رقاقاتها. ولتحديد هذا الخلل، خصصت الشركة رمز التصنيف CVE-2026-25262، وفي 20 أبريل 2026، نشر فريق Kaspersky ICS CERT التفاصيل الفنية الخاصة بالثغرة بالإضافة إلى حزمة من التوصيات للمستخدمين.
أدرجت Qualcomm هذه الثغرة في نشرتها الأمنية لشهر مايو. ورغم أن إصلاح الأجهزة التي تم تصنيعها بالفعل أمر مستحيل من الناحية الهيكلية، إلا أن الشركة وعدت بإنتاج جميع رقاقاتها المستقبلية دون هذا الخلل الأمني.
إذا كنت تمتلك حاليًا جهازًا يحتوي على رقاقة متأثرة، فاستخدم توصياتنا التالية للمساعدة في تقليل مخاطر الإصابة.
- فرض رقابة مادية صارمة: لا تترك أجهزتك دون مراقبة أبدًا، خاصة أثناء السفر أو في رحلات العمل.
- اختيار مراكز الصيانة المعتمدة فقط: احرص على اختيار مراكز الخدمة الرسمية والمرخصة لإجراء أي إصلاحات أو صيانة.
- تحديث البرامج الثابتة بانتظام: صحيح أن هذا الإجراء لن يسد ثغرة BootROM، لكنه يساهم في إغلاق العديد من الثغرات المرتبطة بها في المستويات الأعلى.
- استخدم حل أمان موثوق على جهازك. وسيضمن لك ذلك حماية جهازك من التهديدات الأخرى التي قد تندمج مع هذه الثغرة، مما قد يؤدي إلى عواقب وخيمة وغير متوقعة.
إذا لاحظت أن جهازك الذي يحتوي على رقاقة Qualcomm المصابة بدأ يتصرف بغرابة — مثل ارتفاع درجة حرارته أثناء عدم استخدامه، أو تسجيل قفزات غير متوقعة في استهلاك بيانات الشبكة، أو ظهور سلوك مريب من بعض التطبيقات — فقد تكون وقعت ضحية لهذه الثغرة الأمنية. ويمكنك مسح التعليمات البرمجية الخبيثة وإعادة جهازك إلى حالته الأصلية ببساطة عن طريق قطع الطاقة عنه تمامًا. ويقصد بذلك إما نزع البطارية أو تركها لتفرغ تمامًا حتى الصفر إلى أن ينطفئ الجهاز كليًا. وفي هذه الحالة، لن تتمكن التعليمات البرمجية الخبيثة على الأرجح من البقاء على الجهاز، إذ لم نتمكن خلال بحثنا من إثبات قدرته على تحقيق تواجدها المستمر داخل الذاكرة غير المتطايرة.
هل تريد معرفة المزيد عن الثغرات الأمنية الشديدة في هواتف Android؟ ألقِ نظرة على هذه المقالات:
النصائح