- تسمح الثغرة الأمنية الخطيرة CVE-2026-21643 في FortiClientEMS 7.4.4 بحقن SQL وتنفيذ التعليمات البرمجية عن بعد دون مصادقة.
- تتعلق الثغرة الأمنية بالمعالجة غير الآمنة لرأس HTTP Site في البرمجيات الوسيطة، والتي يمكن استغلالها من خلال نقطة النهاية العامة /api/v1/init_consts.
- يمكن أن يؤدي الاستغلال إلى اختراق كامل لقاعدة بيانات الإدارة، وسرقة بيانات الاعتماد، وتعديل السياسات الموزعة على جميع نقاط النهاية.
- يتضمن التخفيف الترقية إلى FortiClientEMS 7.4.5 أو أعلى، وتعطيل وضع المستأجرين المتعددين إذا لم يكن من الممكن إصلاحه على الفور، وتقييد الوصول إلى وحدة التحكم الإدارية.
أصبحت حماية منصات إدارة نقاط النهاية مسألة بالغة الأهمية للعديد من الشركات، ويُعدّ Fortinet وحلّها FortiClient Endpoint Management Server (EMS) خير مثال على ذلك. ففي الأشهر الأخيرة، تم اكتشاف ثغرة أمنية خطيرة من نوع حقن SQL تؤثر على إصدار محدد من المنتج، مما أثار ضجة كبيرة في أوساط الأمن السيبراني.
في هذه المقالة، سنشرح بهدوء ما يحدث مع ثغرة حقن SQL الحرجة في Fortinet ، وكيف تعمل ثغرة CVE-2026-21643، وما هو تأثيرها الحقيقي على المؤسسات، وكيف يتم استغلالها عمليًا، وقبل كل شيء، ما هي التدابير العاجلة والمتوسطة المدى التي يجب عليك تنفيذها إذا كنت تدير بنى تحتية تعتمد على FortiClientEMS أو منتجات مماثلة.
سياق ثغرة CVE-2026-21643 في FortiClientEMS
صُنّفت الثغرة الأمنية CVE-2026-21643 على أنها حرجة ، حيث تراوحت درجة خطورتها وفقًا لمعيار CVSS بين 9.1 و9.8، مما يضعها عمليًا في أعلى مستويات الخطورة. تكمن هذه الثغرة في خادم إدارة نقاط نهاية FortiClient (EMS)، وهي المنصة التي تستخدمها الشركات لنشر وإدارة عملاء FortiClient على أجهزة المستخدمين.
يؤثر هذا الخلل تحديدًا على الإصدار 7.4.4 من FortiClientEMS (فرع 7.4) عند تفعيل وضع تعدد المستأجرين (وظيفة "المواقع"). أما الإصداران 8.0 و7.2، بالإضافة إلى نسخ FortiEMS السحابية، فلا يتأثران بهذا الخلل، لذا ركزت Fortinet جميع توصياتها للتخفيف من آثاره على البيئات التي لا تزال تستخدم الإصدار 7.4.4 محليًا.
يحدث هذا النوع من هجمات حقن SQL نتيجةً لعدم تحييد العناصر الخاصة في عبارات SQL بشكل صحيح ، وهو مصنف ضمن معيار CWE-89. عمليًا، يسمح هذا النوع من الهجمات لمهاجم عن بُعد غير مصادق عليه بإرسال طلبات HTTP مصممة خصيصًا، مما يتسبب في قيام الخادم بتنفيذ أوامر SQL عشوائية، الأمر الذي قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) بصلاحيات مستخدم قاعدة البيانات.
تشير تحذيرات فورتينت الأمنية إلى أن الثغرة الأمنية تكمن في مكون واجهة المستخدم الرسومية لبرنامج FortiClientEMS ، وتحديدًا واجهة الويب التي يستخدمها المسؤولون لإدارة ومراقبة نقاط النهاية. وهذا يعني أن أي جهاز مزود بواجهة يمكن الوصول إليها عبر الإنترنت يصبح هدفًا رئيسيًا للمهاجمين.
كيف نشأت ثغرة حقن SQL الخطيرة في شركة فورتينت؟
يرجع أصل المشكلة إلى إعادة هيكلة رئيسية للبرمجيات الوسيطة في FortiClientEMS 7.4.4 . خلال مراجعة الكود هذه، قام المطورون بتغيير طريقة تعامل التطبيق مع الاتصالات بقاعدة بيانات PostgreSQL وتوجيه المستأجرين، مما أدى عن غير قصد إلى إدخال خطأ في ملف الاتصال.
في هذا المنطق الجديد، يقوم الخادم بتمرير رأس HTTP Site إلى استشارة search_path بواسطة PostgreSQLكان الهدف هو تحديد المخطط المقابل لكل مستأجر بناءً على هذا العنوان، لكن المشكلة الكبيرة هي أن البرمجيات الوسيطة لا تقوم بالتحقق من صحة هذه القيمة أو تنظيفها بشكل صحيح.
ونتيجة لذلك، يمكن للمهاجم كسر تنسيق السلسلة المقصود وإدخال حمولته الخبيثة الخاصة في عبارة SQL، وحقن أوامر عشوائية ستقوم قاعدة البيانات بتنفيذها بالامتيازات العالية التي قام مستخدم الخدمة بتكوينها داخل الجهاز الظاهري Fortinet.
يتفاقم الخطر أكثر لأن هذا البرنامج الوسيط المعرض للاختراق يُنفذ قبل أي عملية تحقق من المصادقة . بعبارة أخرى، لا حاجة لتسجيل الدخول أو امتلاك بيانات اعتماد: يكفي إرسال طلب HTTPS مُعدّل مع رأس موقع مُعدّل لمحاولة استغلال الثغرة الأمنية.
يتناسب هذا النمط تمامًا مع سيناريو CVSS 3.1 من نوع AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ، حيث يصل الهجوم عبر الشبكة، ويكون ذا تعقيد منخفض، ولا يتطلب امتيازات مسبقة أو تفاعل المستخدم، ويعرض سرية وسلامة وتوافر النظام المتأثر للخطر بشكل كامل.
طريقة الهجوم: نقطة النهاية /api/v1/init_consts ورأس الموقع
أوضح باحثون أمنيون، مثل فريق بيشوب فوكس، أن أكثر طرق الهجوم فعالية توجد في نقطة النهاية. متاحة للعامة /api/v1/init_consts، وهو مسار واجهة برمجة تطبيقات FortiClientEMS المستخدم أثناء تهيئة الواجهة.
يمكن للمهاجمين استخدام نقطة النهاية هذه أولاً لـ تحقق مما إذا كان وضع المستأجرين المتعددين مفعلاًإذا اكتشفوا أن وظيفة المواقع مفعلة، فإنهم يشرعون في حقن حمولات SQL من خلال رأس HTTP. Site، مستفيدًا من حقيقة أن القيمة تُمرر إلى الجملة دون تنظيف search_path.
تحتوي هذه النقطة النهائية على عدة عيوب تصميمية: أولاً، تفتقر إلى آليات تحديد معدل الطلبات ودفاعات محددة ضد هجمات القوة الغاشمة؛ ثانياً، تُعيد مباشرةً رسائل الخطأ التي يُنشئها PostgreSQL في نص الاستجابة. وهذا يُسهّل الأمر كثيراً على المهاجم.
بفضل تلقي هذه الأخطاء بشكل واضح، يستطيع المهاجم تنفيذ تقنيات استخراج البيانات بناءً على الأخطاء في طلب واحد ، دون الحاجة إلى اللجوء إلى عمليات الحقن البطيئة التي تعتمد على الوقت. وهذا يسمح بحصر الجداول والأعمدة والبيانات الحساسة بسرعة فائقة.
في حال نجاح عملية الاستغلال، يتمكن المهاجم من اختراق قاعدة بيانات إدارة نقاط النهاية بشكل كامل . وبما أن مستخدم قاعدة البيانات يتمتع بصلاحيات المستخدم المتميز في PostgreSQL، فإنه لا يستطيع فقط استخراج المعلومات، بل يمكنه أيضاً تنفيذ تعليمات برمجية عن بُعد على نظام التشغيل الأساسي.
تأثير حقيقي على المؤسسة ونقاط النهاية المُدارة
إن تأثير هذه الثغرة الأمنية يتجاوز مجرد تسريب البيانات. فقدرة المهاجمين على تنفيذ أوامر SQL عشوائية على قاعدة بيانات FortiClientEMS تسمح لهم بسرقة كلمات مرور المسؤولين، والشهادات الرقمية، وقوائم كاملة بالأجهزة المتصلة بالمنصة.
بفضل هذا المستوى من الوصول، يستطيع المهاجم تعديل سياسات الأمان ونشر برامج خبيثة على جميع نقاط النهاية المُدارة. وهذا يفتح الباب أمام سيناريوهات معقدة تصبح فيها أجهزة الأمان الخاصة بالمؤسسة نفسها وسيلةً للهجوم على الشبكة الداخلية.
علاوة على ذلك، فإن اختراق قاعدة بيانات الإدارة يؤثر أيضًا على سرية البيانات المخزنة (مثل المعلومات المتعلقة بالمستخدمين والمعدات والسياسات والشهادات)، وسلامة البيانات (تغيير القواعد والقوالب والمهام) وتوافرها (إمكانية حذف البيانات أو تخريب خادم الإدارة).
يتماشى هذا التهديد مع الاتجاه المتزايد الشائع للهجمات ضد الأجهزة الطرفية وأنظمة الإدارة ، والتي تحظى بتقدير كبير من قبل مجرمي الإنترنت لأنها تعمل كمراكز تجميع المعلومات والتحكم في كميات كبيرة من نقاط النهاية.
لجميع الأسباب المذكورة أعلاه، صنفت شركة Fortinet هذه الثغرة الأمنية على أنها حرجة، وتوصي وكالات وشركات الأمن بالتعامل مع أي نسخة مكشوفة من FortiClientEMS 7.4.4 على أنها أصل عالي المخاطر حتى يثبت العكس.
منطقة الاستغلال النشط والتعرض
على الرغم من أن بعض التقارير الأولية أشارت إلى عدم اكتشاف أي استغلال نشط، إلا أن الباحثين من شركة Defused أكدوا وقوع هجمات فعلية تستغل CVE-2026-21643 قبل أربعة أيام فقط من الإعلان عن الثغرة الأمنية.
تُظهر البيانات التي جمعتها منظمات مثل Shadowserver أن حوالي 2.000 خادم FortiClientEMS كانت مُعرّضة للإنترنت بشكل مباشر وقت الرصد. وتصدّرت الولايات المتحدة الإحصائيات بحوالي 756 خادمًا مُعرّضًا للخطر، تلتها أوروبا بأكثر من 680 خادمًا. كما رصد برنامج Shodan أكثر من 1.000 واجهة ويب لـ FortiClientEMS متاحة للعامة، والعديد منها على الأرجح لم يتم تحديثه.
يدعم إدخال سجل NIST الرسمي لـ CVE-2026-21643 هذه الخطورة الشديدة، حيث يُظهر متجه AV:N/AC:L/PR:N/UI:N ذو تأثير كبير على C و I و A. وهذا يعني أنه يمكن اختراق أي خادم FortiClientEMS 7.4.4 بواجهة ويب مفتوحة بشكل كامل دون أن يحتاج المهاجم إلى بيانات اعتماد أو إقناع أي مستخدم بالنقر على أي شيء.
أبلغت Defused عن هذه الثغرات الأمنية في 28 مارس، مشيرة أيضًا إلى أنه على الرغم من ذلك، لم يتم إدراج الثغرة الأمنية بعد في كتالوج KEV (الثغرات الأمنية المستغلة المعروفة) التابع لوكالة الأمن السيبراني وأمن البنية التحتية (CISA) أو قوائم أخرى عامة للثغرات التي يتم استغلالها بنشاط، وهو أمر يحدث عادة في فترات الاستغلال الأولية هذه.
من ناحية أخرى، أصدرت شركة Fortinet بالفعل التصحيح التصحيحي في فبراير مع الإصدار 7.4.5، مما يوضح النمط المتكرر في مجال الأمن السيبراني: هناك فجوة زمنية كبيرة بين توفر الإصلاح ونشره الفعلي في بيئة الإنتاج، وهي فترة يستغلها المهاجمون لاختراق الأنظمة التي لم يتم تحديثها بعد.
مؤشرات الاختراق وعلامات الهجوم
بالنسبة للمسؤولين الذين يديرون FortiClientEMS، من الضروري فهم الأدلة التي تتركها محاولة استغلال محتملة. تشمل المؤشرات الرئيسية للاختراق ما يلي:
أولاً، يسلطون الضوء على أوقات استجابة طويلة بشكل غير عادي، تتراوح من 5 إلى أكثر من 20 ثانية، على نقاط النهاية /api/v1/auth/signin o /api/v1/init_consts، كما هو موضح في سجلات الوصول الخاصة بـ Apache أو خادم ويب آخر موجود في المقدمة.
كما أنها علامة تحذيرية يجب رؤيتها استجابات HTTP 500 متكررة من نفس عنوان IP مقابل نقطة النهاية /api/v1/init_constsقد يشير هذا النمط إلى أن المهاجم يقوم بضبط حمولات حقن SQL الخاصة به من خلال التجربة والخطأ حتى يجد واحدة تعمل ولا تولد أخطاء.
بالإضافة إلى ذلك، يجدر النظر في سجلات أخطاء PostgreSQL. المشاورات search_path باستخدام علامات اقتباس مفردة أو فواصل منقوطة أو كلمات SQL الرئيسية كما SELECT, INSERT o UPDATE خارج السياق المتوقع. يشير هذا النوع من التتبع عادةً بشكل مباشر إلى محاولة التلاعب برأس الموقع.
كإجراء وقائي، يجب التعامل مع أي خادم FortiClientEMS 7.4.4 مُعرَّض للإنترنت دون تحديثات مناسبة على أنه مُعرَّض للاختراق . يتضمن ذلك عزله عن الشبكة، وإجراء تحليل جنائي مفصَّل (لقاعدة البيانات ونظام التشغيل والسجلات)، والتخطيط لإعادة بناء بيئة النظام بشكل مُتحكَّم به في حال العثور على دليل على الاختراق.
إجراءات تخفيف فورية وحل رسمي من شركة فورتينت
الإجراء الوقائي الأساسي واضح: تحديث FortiClientEMS من الإصدار 7.4.4 إلى الإصدار 7.4.5 أو أحدث في أسرع وقت ممكن. قامت Fortinet بإصلاح الثغرة الأمنية عن طريق استبدال استيفاء السلاسل النصية في الاستعلام بمعالجة سليمة للمعرفات المُعَلَّمة، وتأمين مدخلات رأس الموقع.
لا تتطلب الإصدارات 8.0 و7.2، بالإضافة إلى FortiEMS Cloud، أي إجراءات إضافية ، لأنها غير متأثرة بهذه الثغرة الأمنية تحديدًا. ومع ذلك، يُنصح بمراجعة إعدادات الوصول إلى الإنترنت، لأن نقاط الضعف المحتملة في لوحات التحكم الإدارية يجب تقليلها دائمًا.
بالنسبة للفرق التي لا تستطيع تطبيق التحديث فورًا لأسباب تشغيلية، يوصي بعض الباحثين بحل مؤقت: تعطيل خاصية "المواقع" متعددة المستخدمين . يمنع هذا الإجراء تنفيذ مسار التعليمات البرمجية المعرض للخطر المرتبط برأس الموقع، مما يقلل بشكل كبير من خيارات الاستغلال.
وبالمثل، من الضروري تقييد الوصول إلى واجهة إدارة نظام إدارة الطوارئ عبر الإنترنت للشبكات الداخلية الموثوقة فقط . ومن الأفضل وضع وحدة التحكم خلف شبكة افتراضية خاصة (VPN) أو آلية وصول تعتمد على مبدأ انعدام الثقة، وعدم تركها مكشوفة للإنترنت مباشرةً إلا في حالات استثنائية للغاية ومؤمّنة بشكل صحيح.
بالإضافة إلى ذلك، يُنصح بمراجعة وتعزيز قواعد جدار الحماية وأي جدران حماية تطبيقات الويب أمام FortiClientEMS ، وتطبيق عوامل التصفية التي تحظر أنماط حقن SQL النموذجية في رؤوس HTTP، وخاصة في رأس الموقع، ومراقبة أي طلبات API غير طبيعية عن كثب.
ممارسات أمنية جيدة تتجاوز مجرد التحديثات
إلى جانب تطبيق التحديثات والتدابير الوقائية المحددة، يُظهر هذا الحادث بوضوح أن إدارة الثغرات الأمنية يجب أن تكون عملية مستمرة ، وليست مجرد رد فعل مؤقت على تحذير من أحد الموردين. ينبغي على المؤسسات التي تعتمد على منصات إدارة نقاط النهاية وحلول أمن الشبكات تعزيز استراتيجيتها على عدة جبهات.
من ناحية أخرى، من الضروري وجود جرد محدث للأصول والإصدارات ، بحيث يكون من الممكن عند نشر CVE حرج تحديد الأنظمة المعرضة للخطر في غضون دقائق وتحديد أولويات تحديثها وفقًا لمستوى التعرض والخطورة.
من ناحية أخرى، يُنصح باختيار اختبارات الاختراق الدورية ومراجعات البنية التي تتحقق ليس فقط من متانة المنتج نفسه، ولكن أيضًا من كيفية نشره: تجزئة الشبكة، وفصل مستويات الإدارة، وقيود الوصول، ومراقبة السجلات المركزية، والكشف عن السلوك الشاذ.
من منظور التطوير، تُبرز هذه الحالة مجدداً أهمية تطبيق ممارسات التطوير الآمنة واختبارات التراجع عند إجراء أي إعادة هيكلة شاملة للبرمجيات الوسيطة أو المكونات الحيوية. فلا يمكن أن يصاحب تحسين الأداء أو قابلية التوسع تراجعٌ في آليات أساسية مثل تنقية المدخلات.
تقدم الشركات المتخصصة في الأمن السيبراني والتطوير الآمن خدمات تدقيق الشفرات واختبار الاختراق والاستشارات المصممة خصيصًا لاكتشاف هذه الثغرات الأمنية قبل وصولها إلى بيئة الإنتاج. في البيئات التي تجمع بين البنية التحتية المحلية والحوسبة السحابية وأجهزة الحوسبة الطرفية، غالبًا ما يكون الاعتماد على خبراء خارجيين هو العامل الحاسم.
أخيرًا، على مستوى الحوكمة والأعمال، من المفيد جدًا وجود لوحات معلومات وذكاء أعمال تُتيح تصور حالة الثغرات الأمنية، ومدى انكشاف واجهات الإدارة، والأثر المحتمل لأي عطل حرج على عمليات المؤسسة. يُسهّل هذا النهج تحديد أولويات الاستثمارات وتبرير التدابير الوقائية التي قد تبدو مكلفة للوهلة الأولى، ولكنها تُجنّب المؤسسة العديد من المشاكل على المدى المتوسط.
إنّ اجتماع عيب تصميمي خطير، ومساحة هجوم واسعة، والتأخير المعتاد في إصدار التحديثات الأمنية، يجعل من CVE-2026-21643 مثالاً واضحاً على ضرورة عدم الاستهانة بأمن منصات الإدارة. ينبغي على أي مؤسسة تستخدم FortiClientEMS أو حلولاً مماثلة أن تعتبر هذا الحادث بمثابة جرس إنذار لمراجعة وضعها الأمني، وتسريع دورات التحديث، وتعزيز دفاعاتها حول منصات الإدارة قبل أن تُعرّضها ثغرة أمنية أخرى من نوع "يوم الصفر" أو حقن SQL للخطر مجدداً.
