في خطوة تسلط الضوء على التهديدات المتزايدة للأجهزة الطبية المتصلة بالإنترنت، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) وإدارة الغذاء والدواء الأمريكية (FDA) تحذيرات حول وجود وظائف مخفية في أجهزة مراقبة المرضى من نوع كونتك (Contec) و إيبسيميد (Epsimed). هذه الثغرات الأمنية، التي تتضمن الثغرة المعروفة باسم CVE-2025-0626، تتسبب في مخاطر كبيرة على سلامة البيانات والخصوصية.

تحليل مفصل للثغرات الأمنية

الثغرة الأمنية CVE-2025-0626، التي حصلت على درجة 7.7 من أصل 10 وفقًا لنظام تسجيل الثغرات (CVSS v4)، تعد من أعلى درجات الخطورة. تم الإبلاغ عنها بواسطة باحث خارجي مجهول. تتيح هذه الثغرة لجهاز المراقبة إرسال طلبات وصول عن بُعد إلى عنوان IP محدد مسبقًا، متجاوزة إعدادات الشبكة الحالية للجهاز. هذا يمكن أن يُستخدم كباب خلفي للسماح لمهاجم بتحميل واستبدال الملفات على الجهاز.

بالإضافة إلى ذلك، تم الكشف عن ثغرتين أخريين في هذه الأجهزة:

• CVE-2024-12248: ثغرة كتابة خارج الحدود تمكن المهاجم من إرسال طلبات (UDP) خاصة لتنفيذ تعليمات برمجية عن بُعد.
• CVE-2025-0683: ثغرة تسرب خصوصية تتسبب في نقل بيانات المرضى بنص عادي إلى عنوان IP عام محدد مسبقاً، مما قد يؤدي إلى كشف معلومات حساسة.

التأثير والآثار الأمنية

استغلال هذه الثغرات بنجاح يمكن أن يتيح للأجهزة الوصول إلى معلومات المرضى السرية أو فتح الباب أمام سيناريوهات هجوم الوسيط (AitM). حتى الآن، لم تسجل إدارة الغذاء والدواء أي حوادث أو إصابات أو وفيات ناتجة عن استغلال هذه الثغرات.

تؤثر الثغرات الأمنية على المنتجات التالية:

• جهاز مراقبة المرضى CMS8000: جميع إصدارات البرنامج الثابت.

الخطوات الموصى بها للتصدي للتهديدات

بما أن هذه الثغرات لم تُحل بعد، توصي وكالة الأمن السيبراني (CISA) بفصل وإزالة أي أجهزة من نوع كونتك (CMS8000) من الشبكات. يُنصح أيضًا بمراقبة أجهزة المراقبة لأي علامات تدل على أداء غير معتاد، مثل الاختلافات بين القيم الحيوية المعروضة وحالة المريض الفعلية.

تُنتج أجهزة CMS8000 بواسطة شركة كونتك الطبية، الواقعة في تشينهوانغداو، الصين. تدعي الشركة أن منتجاتها معتمدة من إدارة الغذاء والدواء الأمريكية وتوزع في أكثر من 130 دولة ومنطقة.

نظرة مستقبلية ودعوة للنقاش

في ظل تزايد الاعتماد على الأجهزة الطبية المتصلة، كيف يمكن للصناعة أن تتبنى معايير أمان أكثر صرامة لضمان حماية المرضى وبياناتهم الحساسة؟ نرحب بمناقشاتكم وآرائكم في هذا الشأن.