أعلنت أدوبي عن حزمة تحديثات أمنية تستهدف ثغرات ذات أقصى شدة في منتجها Campaign Classic الموجه للمؤسسات، إضافةً إلى إصلاحات لعدد من نقاط الضعف الحرجة في Adobe Bridge. جوهر القصة الأمني هنا ليس مجرد رقم تصنيف درجة الخطورة، بل نوع التأثير الذي قد تسببه هذه الثغرات: تنفيذ شفرة عشوائية و/أو قراءة ملفات تعسفية وأحيانًا تصعيد صلاحيات. هذه السيناريوهات تمثل مسارًا مباشرًا من اختراق التطبيق إلى السيطرة على بيئة تشغيل المؤسسة.

وفقًا لإعلان الشركة، لا توجد دلائل لديها على استغلال هذه الثغرات في البرية حتى وقت الإصدار. ومع ذلك، فإن مجرد وجود ثغرات بهذا النوع يعني أن نافذة الخطر قد تتقلص بسرعة مع انتشار التحديثات فقط إذا كانت المؤسسات تتحرك على الفور. في عالم الهجمات الحديثة، التأخير في تطبيق التصحيحات غالبًا ما يساوي “تسليمًا مبكرًا” للمهاجمين.

ما الذي تم إصلاحه في Campaign Classic؟

ثغرة تنفيذ شفرة عشوائية بدرجة 10.0

تتعلق إحدى أبرز الثغرات بـ CVE-2026-48449 في Campaign Classic (ACC)، وقد حصلت على درجة 10.0 ضمن نظام CVSS (نظام تقييم شدة الثغرات). تصفها أدوبي بأنها حالة سوء تحقق صلاحيات (Incorrect authorization) قد تسمح بـ تنفيذ شفرة عشوائية في سياق المستخدم الحالي دون الحاجة إلى تفاعل من المستخدم.

لفهم خطورة هذا النوع: حين تكون المشكلة “صلاحيات” وليست “منطق تحقق إدخال” فقط، فهذا يعني أن المهاجم قد لا يحتاج إلى خداع المستخدم لينقر على رابط أو يفتح ملفًا—يكفي أن يجد طريقة لإرسال طلبات مصممة بعناية تستغل خلل التفويض داخل التطبيق. وبما أن التأثير يتم في سياق المستخدم الحالي، فقد يكون ذلك كافيًا للوصول إلى بيانات حساسة أو تثبيت برمجيات خبيثة أو إنشاء بوابة دائمة.

ثغرة حقن قد تقود لقراءة ملفات تعسفية

إلى جانب ذلك، تم إصلاح ثغرة أخرى ذات شدة عالية: CVE-2026-48448 بدرجة 8.6. بحسب أدوبي، تنشأ هذه المشكلة من حقن SQL (SQL injection) يمكن أن يمهد لـ قراءة ملفات تعسفية. هجوم SQL injection غالبًا ما يُستخدم للوصول إلى قاعدة البيانات أو تجاوز منطق الاستعلامات، لكن في بعض الحالات قد يتطور إلى مسارات إضافية مثل استغلال سلوكيات النظام أو قراءة موارد خارجية—وهذا ما يجعلها أخطر من مجرد “كشف بيانات” تقليدي.

أدوبي لخصت ذلك بوضوح: التحديث يعالج ثغرات حرجة قد تؤدي إلى تنفيذ شفرة عشوائية وقراءة نظام ملفات تعسفية.

الإصدارات المتأثرة وإجراءات التحديث

تم معالجة المشكلتين في ACC v7 ضمن 7.4.3 build 9398 لكل من Windows وLinux. التوصية العملية هنا بسيطة لكنها حاسمة: تطبيق التحديث على الفور، ومراجعة سجلات الوصول ومحاولات الطلبات المشبوهة بعد الترقية، خصوصًا إذا كان النظام متصلاً بواجهات خارجية أو بوابات تكامل.

لماذا يهم هذا في قطاع التسويق المؤسسي؟

قد يظن البعض أن منصات الأتمتة التسويقية مجرد “أنظمة محتوى” لا تمس جوهر الأمن. لكن واقع المؤسسات يختلف: Campaign Classic قد يضم بيانات عملاء، قنوات بريد، تكاملات مع قواعد بيانات، وعمليات جدولة. أي اختراق ناجح هنا لا يعني فقط تعطيل حملة؛ بل قد يعني:

• الوصول إلى بيانات شخصية أو ملفات تحتوي على جمهور العملاء (بما قد يرفع مخاطر الامتثال).
• تلاعبًا في محتوى الرسائل أو إعادة توجيه حملات تسويقية.
• استخدام الخادم كمنصة لعمليات لاحقة داخل الشبكة (Lateral movement) عبر اعتماديات النظام.

عند الحديث عن الهجمات الحديثة، فإن “النتيجة” لا تقف عند حدود التطبيق. كثير من المجموعات الإجرامية تستفيد من نقاط الضعف في أنظمة الأعمال للوصول إلى بيئات أوسع—خصوصًا عندما تكون الصلاحيات غير محكمة أو عندما تتشارك الأنظمة نفس حسابات الخدمة أو نفس مسارات الوصول للملفات.

Adobe Bridge: ثغرات تصعيد صلاحيات وتنفيذ شفرة

على صعيد آخر، أصدرت أدوبي تحديثات لمعالجة ثماني ثغرات مصنفة بدرجة حرجة في Adobe Bridge، مع تأثيرات تتراوح بين تصعيد صلاحيات وتنفيذ شفرة عشوائية. هذا النمط يهم المؤسسات لأن أدوات التصميم/إدارة الأصول غالبًا ما تكون “قريبة” من مسارات الملفات والمجلدات وعمليات المعالجة—ما يخلق فرصًا لهجمات مثل مسار غير موثوق (Untrusted search path) أو اجتياز المسار (Path traversal).

أمثلة على طبيعة الثغرات المعلنة

• CVE-2026-48395 (8.6): ثغرة مسار بحث غير موثوق تؤدي إلى تنفيذ شفرة عشوائية.
• CVE-2026-48396 (8.6): سوء تحقق صلاحيات يؤدي إلى تنفيذ شفرة عشوائية.
• CVE-2026-48390 (8.6): سوء تحقق صلاحيات يؤدي إلى تصعيد صلاحيات.
• CVE-2026-48391 (8.2): مسار بحث غير موثوق يؤدي إلى تنفيذ شفرة عشوائية.
• CVE-2026-48374 (7.8): اجتياز المسار يؤدي إلى تنفيذ شفرة عشوائية.
• CVE-2026-48392 وCVE-2026-48393 وCVE-2026-48394 (كلها 7.8): ثغرات كتابة خارج حدود الذاكرة (Out-of-bounds write) تؤدي إلى تنفيذ شفرة عشوائية.

لفتة مهمة: ثغرات “كتابة خارج حدود الذاكرة” عادةً ما تكون من أكثر الفئات حساسية، لأنها قد تسمح للمهاجم بالتحكم في مسار التنفيذ أو استغلال ذاكرة العملية. حتى لو كانت التفاصيل التقنية غير منشورة، فإن مجرد تصنيفها كـ تنفيذ شفرة عشوائية يعني أن المخاطر عملية وليست نظرية.

من اكتشف الثغرات؟ ولماذا هذا يهم أمن المؤسسات؟

أشادت أدوبي بالمساهمات البحثية التي ساعدت في اكتشاف عدة نقاط ضعف وإبلاغها. تم ذكر باحثين بأسماء معرفات مثل Kieran (ضمن قوس باسم kaiksi)، إضافةً إلى yjdfy لتقارير تتعلق بثغرات محددة. هذه المعلومة ليست “تفصيلًا جانبيًا”؛ بل تذكير بأن منظومة أمن البرمجيات تعتمد على تعاون مستمر بين المطورين والباحثين والمجتمع.

في المقابل، على المؤسسات أن تتعامل مع الثغرات كأحداث زمنية: بمجرد نشر CVE أو تحديث أمني، تبدأ سباقات الاستغلال بين المهاجمين والمُدافعين. لذلك، فإن وجود سياسة تصحيح (Patch management) ناضجة—مع اختبارات وتحقق بعد التحديث—هو دفاع استراتيجي وليس مجرد إجراء تشغيلي.

إجراءات أمنية عملية: كيف تتعامل المؤسسة مع هذا النوع من الإعلانات؟

أمام ثغرات قد تسمح بتنفيذ شفرة دون تفاعل مستخدم، تصبح الإجراءات الاستباقية أكثر إلحاحًا. إليك قائمة مختصرة لكنها عملية:

• تطبيق التحديثات فورًا على الأنظمة المتأثرة (ACC وAdobe Bridge) ومتابعة التوافق مع بيئات التكامل.
• التحقق من التعرض: هل كانت الخوادم مكشوفة للإنترنت؟ هل توجد واجهات خارجية أو بوابات وصول عن بُعد؟
• مراجعة السجلات بعد التحديث بحثًا عن أنماط غير معتادة في الطلبات أو أخطاء تفويض أو سلوكيات استعلامات غير طبيعية.
• تقييد الصلاحيات لحسابات تشغيل الخدمات: مبدأ أقل صلاحية (Least privilege) يقلل أثر أي استغلال.
• تحديث برامج الحماية والمراقبة لضمان رصد محاولات الاستغلال المبكرة (Indicators of compromise) إن ظهرت.

كتأطير مرجعي، كثير من المؤسسات تعتمد على ممارسات مثل NIST 800-53 لإدارة الضوابط الأمنية، وعلى مبادئ أقل صلاحية والدفاع متعدد الطبقات لتقليل الضرر عندما تفشل طبقة واحدة.

ما الذي تقوله هذه الحوادث عن اتجاهات التهديد؟

هذه الإعلانات تتقاطع مع اتجاهين نراهما بشكل متكرر في السنوات الأخيرة: أولًا، الميل إلى استغلال ثغرات “تفويض” و”منطق وصول” التي لا تتطلب تفاعلًا من المستخدم، وثانيًا، بقاء أدوات الأعمال (وليس فقط أنظمة البنية التحتية) ضمن نطاق الهجوم. كثير من الهجمات الناجحة لا تبدأ من “الخادم الأساسي” بل من أنظمة تبدو تجارية أو غير حساسة.

كما أن غياب مؤشرات الاستغلال في البرية لا يعني انعدام الخطر. في كثير من الحالات، تظهر الاستغلالات بعد فترة قصيرة عندما يبدأ المهاجمون في اختبار الثغرة مقابل بيئات حقيقية—خصوصًا إذا كانت المؤسسات تتأخر في تطبيق التحديثات.

خلاصة: التحديث ليس خيارًا

ثغرات CVE-2026-48449 وCVE-2026-48448 في Campaign Classic، إلى جانب ثغرات Adobe Bridge ذات التأثيرات القوية، تضع المؤسسات أمام حقيقة واحدة: إدارة التصحيح السريع هي خط الدفاع الأول ضد الاستغلال العملي. ومع أن أدوبي لم ترصد استغلالًا حتى الآن، فإن قيمة هذه التحديثات تكمن في تقليص سطح الهجوم قبل أن يتحول إلى مسرح للهجمات.

سؤال للنقاش

عندما تصدر تحديثات أمنية بهذه الشدة، هل تملك مؤسستك مسارًا واضحًا وسريعًا لتطبيق التصحيحات على الأنظمة التجارية (مثل منصات الأتمتة وأدوات إدارة الأصول)، أم أن التركيز ينصب فقط على الخوادم والبنية التحتية؟

مصادر إضافية: يمكنك متابعة تفاصيل المصطلحات العامة عبر صفحات CVE وCVSS وحقن SQL.

فيسبوك |
إكس