كشفت شركة SAP عن تحديثات أمنية لمعالجة ثغرتين أمنيتين حرجتين، يمكن استغلالهما لتنفيذ تعليمات برمجية عشوائية على الأنظمة المتضررة. تأتي هذه التحديثات في سياق جهود مستمرة لتعزيز الأمن السيبراني وتعزيز حماية البيانات.
تتعلق الثغرتان المكتشفتان بـ CVE-2019-17571، وهي ثغرة حقن تعليمات برمجية في تطبيق SAP Quotation Management Insurance (FS-QUO)، وحصلت على درجة خطورة 9.8 حسب مؤشر CVSS. أما الثغرة الثانية فهي CVE-2026-27685، وتتعلق بعدم كفاية التحقق أثناء عمليةDeserialization في SAP NetWeaver Enterprise Portal Administration، وحصلت على درجة 9.1.
تحديثات SAP الأمنية لمعالجة الثغرات الحرجة
تشير التقارير المقدمة من شركة Onapsis المتخصصة في أمن SAP إلى أن التطبيق يستخدم إصدارًا قديمًا من Apache Log4j (1.2.17) وهو عرضة لثغرة CVE-2019-17571. تسمح هذه الثغرة لمهاجم غير مصرح له بتنفيذ تعليمات برمجية عن بعد على الخادم، مما يؤثر بشكل كبير على سرية وسلامة وتوافر التطبيق.
من جهة أخرى، تنبع ثغرة CVE-2026-27685 من عدم وجود أو عدم كفاية التحقق عند معالجة المحتوى الذي يتم تحميله. هذا قد يمكّن المهاجم من تحميل محتوى غير موثوق به أو ضار، مما يمثل تهديدًا استراتيجيًا.
وفقًا لـ Onapsis، فإن هذه الثغرة كانت ستحصل على درجة CVSS كاملة (10) لو لم تتطلب مستوى عالٍ من الامتيازات للمهاجم ليكون ناجحًا. ورغم ذلك، تظل الثغرة خطيرة وتتطلب معالجة فورية.
الجهود المستمرة لتعزيز الأمن السيبراني
يأتي الكشف عن هذه الثغرات في وقت أصدرت فيه شركات تقنية كبرى أخرى تحديثات أمنية لمعالجة نقاط ضعف مشابهة. فقد شملت تحديثات Microsoft 84 ثغرة، منها ثغرات متعددة تسمح بتصعيد الامتيازات وتنفيذ تعليمات برمجية عن بعد.
كما أعلنت Adobe عن إصلاح 80 ثغرة، أربع منها حرجة تؤثر على Adobe Commerce و Magento Open Source، والتي قد تؤدي إلى تصعيد الامتيازات وتجاوز الميزات الأمنية. بالإضافة إلى ذلك، تم إصلاح خمس ثغرات حرجة في Adobe Illustrator يمكن أن تؤدي إلى تنفيذ تعليمات برمجية عشوائية.
وفي سياق متصل، قامت Hewlett Packard Enterprise بإصدار تصحيحات لخمس ثغرات في Aruba Networking AOS-CX. وتعتبر الثغرة الأكثر خطورة هي CVE-2026-23813 (بدرجة 9.8)، والتي تسمح بتجاوز المصادقة وتؤثر على واجهة الإدارة.
صرحت HPE بأن الثغرة المكتشفة في الواجهة القائمة على الويب لتبديل AOS-CX يمكن أن تسمح لممثل بعيد غير مصدق له بتجاوز ضوابط المصادقة الموجودة. وفي بعض الحالات، يمكن أن يؤدي ذلك إلى إعادة تعيين كلمة مرور المسؤول.
يعلق خبراء الأمن، مثل روس فيليبيك، الرئيس التنفيذي للمعلومات في Corsica Technologies، بأن الاستغلال الناجح لهذه الثغرة في أجهزة Aruba يمنح المهاجمين سيطرة كاملة على أجهزة الشبكة، مما يمكنهم من اختراق النظام بأكمله دون اكتشاف. وهذا يسلط الضوء على أهمية تحديث الأجهزة الشبكية بانتظام.
تؤكد هذه الحوادث المتكررة على الديناميكية المستمرة لتهديدات الأمن السيبراني وضرورة اليقظة الدائمة للشركات والمؤسسات للحفاظ على سلامة أنظمتها وبياناتها.
وقد أصدرت شركات أخرى مثل ABB، Amazon Web Services، AMD، Arm، Atlassian، Bosch، Broadcom (بما في ذلك VMware)، Canon، Cisco، Commvault، Dassault Systèmes، Dell، Devolutions، Drupal، Elastic، F5، Fortinet، Fortra، Foxit Software، GitLab، Google (Android، Pixel، Chrome، Cloud، Wear OS)، Grafana، Hitachi Energy، Honeywell، HP، HPE (Aruba Networking، Juniper Networks)، IBM، Intel، Ivanti، Jenkins، Lenovo، Linux Distributions (AlmaLinux، Alpine Linux، Amazon Linux، Arch Linux، Debian، Gentoo، Oracle Linux، Mageia، Red Hat، Rocky Linux، SUSE، Ubuntu)، MediaTek، Mitsubishi Electric، Moxa، Mozilla (Firefox، Thunderbird)، n8n، NVIDIA، Palo Alto Networks، QNAP، Qualcomm، Ricoh، Samsung، Schneider Electric، ServiceNow، Siemens، SolarWinds، Splunk، Synology، TP-Link، Trend Micro، WatchGuard، Western Digital، Zoom، و Zyxel، تحديثات أمنية متنوعة خلال الأسابيع القليلة الماضية لمعالجة ثغرات تشكل مخاطر على البنية التحتية الرقمية.