إن كنت تشغّل بوابة UniFi Dream Machine أو جهاز تسجيل UNVR للكاميرات لديك، توقف عن قراءة بريدك لعشر دقائق وتحقق مما إذا كانت واجهة إدارته قابلة للوصول من الإنترنت. في 22 مايو 2026 أصدرت Ubiquiti تحديثات لخمس ثغرات في UniFi OS، ثلاث منها بدرجة خطورة قصوى 10/10 على مقياس CVSS، وأكدت CISA لاحقاً أن المهاجمين يستغلون هذه الثلاثة فعلياً. هذه ثغرات لا تتطلب مصادقة — لا كلمة مرور ولا موطئ قدم. والأجهزة المتأثرة هي نفسها التي أراها في أغلب خزائن الشركات الصغيرة في عُمان.

المشكلة: واجهات الإدارة مكشوفة للعالم

أجهزة UniFi Console مريحة لأنها تجمع التوجيه والتحكم بالسويتشات والواي فاي وتسجيل الفيديو في جهاز واحد. لكن هذه الراحة تتحول إلى خطر لحظة انكشاف واجهة الإدارة أو خاصية الوصول عن بُعد على الإنترنت العام. وقد قُدّر أن نحو 100,000 جهاز مكشوف على الإنترنت متأثر بهذه الموجة.

خطأ أراه يتكرر ميدانياً: أحدهم يفتح منفذاً (port forward) كي "يتابع الكاميرات من البيت"، أو يترك خاصية Remote Access مفعّلة دون التفكير فيما تكشفه فعلاً. وعندما يحتوي نظام التشغيل على ثغرة حقن أوامر لا تتطلب مصادقة، يتحول هذا الباب المفتوح من راحة إلى اختراق كامل للبوابة وكل ما خلفها.

ماذا تفعل الثغرات الثلاث فعلياً

ببساطة، خطر كل واحدة:

• CVE-2026-34908 — تحكم وصول غير سليم. يستطيع مهاجم عن بُعد إجراء تغييرات على النظام دون مصادقة. أي العبث بالإعدادات.
• CVE-2026-34909 — اجتياز مسار (path traversal). تتيح للمهاجم الوصول إلى ملفات النظام الأساسية التي لا يفترض أن يقرأها.
• CVE-2026-34910 — حقن أوامر. الأخطر: تنفيذ أوامر عشوائية على الجهاز.

كل ثغرة بدرجة 10/10، وكلها قابلة للاستغلال من مهاجم عن بُعد بلا مصادقة. وعند ربطها معاً تُسلّم الجهاز بالكامل. وبما أن هذه الأجهزة كثيراً ما تسجّل لقطات المراقبة، فالاختراق هنا ليس مشكلة شبكة فقط بل مشكلة أمن مادي وخصوصية.

الفرز الفوري

افعل هذا بالترتيب. يستغرق ربع ساعة وهو مهم.

1. حدّد إصدار UniFi OS. ادخل إلى الجهاز محلياً، اذهب إلى الإعدادات، وسجّل الإصدار الحالي وقارنه بالإصدارات المُصلَحة التي أصدرتها Ubiquiti في 22 مايو 2026.
2. تحقق إن كان طرازك متأثراً. القائمة تشمل أجهزة الشبكات وتسجيل الفيديو ومنها UDM وUDM-Pro وUDM-SE وUDM-Pro-Max وUNVR وUNVR-Pro وENVR وUCG-Ultra وUCG-Max وغيرها. إن كنت تشغّل أياً منها فافترض أنك ضمن النطاق.
3. اختبر انكشافك على الإنترنت. من اتصال خارجي (بيانات الجوال لا واي فاي المكتب) حاول الوصول إلى منفذ الإدارة وواجهة UNVR على عنوانك العام. وراجع قواعد تحويل المنافذ في الراوتر. أي استجابة إدارية من الخارج هي أولويتك.

الإصلاح والتحقق

طبّق تحديثات UniFi OS الصادرة في مايو 2026 فوراً. في أغلب الأجهزة يكون التحديث بنقرة واحدة من Settings > System > Updates، لكن إن كانت التحديثات التلقائية معطّلة — كما في كثير من المواقع الإنتاجية لتفادي إعادة التشغيل المفاجئة — فعليك تشغيله يدوياً وجدولة توقف قصير.

بعد الترقيع:

• تأكد أن إصدار UniFi OS أصبح مطابقاً للإصدار المُصلَح أو أحدث منه.
• أعد اختبار الانكشاف الخارجي؛ يجب ألا تستجيب منافذ الإدارة من الإنترنت.
• غيّر بيانات مدير الجهاز المحلي وأي مفاتيح API تحسباً لأن يكون الجهاز قد فُحص قبل الترقيع.
• راجع التغييرات الأخيرة في الإعدادات وقواعد الجدار الناري بحثاً عن أي شيء لم تنشئه أنت.

في أحد عمليات النشر التي عملت عليها، كانت أسرع طريقة للتأكد ببساطة هي إزالة الانكشاف العام أولاً، ثم الترقيع، ثم التحقق — بهذا لا يبقى الجهاز على نظام قابل للاستغلال أثناء تنزيل التحديث.

الدفاع المتعدد الطبقات: لا تكشف واجهة الإدارة أصلاً

الترقيع يغلق ثغرات اليوم، والبنية تغلق ثغرات الغد. أياً كان الجهاز، يجب ألا تكون واجهة الإدارة قابلة للوصول مباشرة من الإنترنت.

• عطّل Ubiquiti Remote Access ما لم تكن بحاجة حقيقية له، ولا تعتمد عليه كمسار وحيد.
• الإدارة عبر VPN فقط. ضع واجهات الإدارة خلف VPN وأدرها عبر النفق. لا استثناءات "لمرة واحدة".
• قيّد عناوين المصدر. حيث يجب وجود إدارة عن بُعد، اقصرها على عناوين معروفة محددة بقواعد الجدار الناري.
• افصل شبكات الكاميرات وأجهزة التسجيل في VLAN مستقلة. الكاميرات والمسجّلات تنتمي إلى VLAN معزولة دون مسار إلى الإنترنت أو إلى شبكتك العامة إلا ما تتطلبه الضرورة، ما يحدّ من نطاق الضرر عند الاختراق.
• بيانات مدير قوية وفريدة مع المصادقة الثنائية على حساب Ubiquiti المرتبط بالجهاز.

نظافة مستمرة لأجهزة الحافة

أجهزة الحافة — البوابات والجدران النارية وأجهزة التسجيل — أهداف مفضّلة لأنها تواجه الإنترنت وكثيراً ما تُترك دون متابعة. ابنِ روتيناً:

1. اشترك في تنبيهات Ubiquiti الأمنية ليصلك خبر الترقيع يوم صدوره.
2. راقب كتالوج الثغرات المستغَلة المعروفة (CISA KEV). حين تظهر ثغرة فيه، كما حدث لهذه الثلاث، عاملها كطوارئ لا كبند نافذة صيانة.
3. ضع وتيرة ترقيع لأجهزة الحافة أسرع من خوادمك — أيام لا شهور.
4. احتفظ بجرد لكل جهاز مواجه للإنترنت وإصدار برنامجه ومدى انكشافه. لا يمكنك حماية ما لم تدوّنه.

طبّق الدرس نفسه في كل مكان

هذه ليست قصة UniFi في الحقيقة، بل القصة نفسها التي أكررها لكل عميل عن أي كاميرا أو مسجّل أو جدار ناري: واجهة الإدارة هي الجوهرة، ولا مكان لها على الإنترنت العام. سواء كان جهاز Ubiquiti أو DVR مستقلاً أو صفحة إدارة جدار ناري، القاعدة واحدة — ادخل عبر VPN، اعزل الشبكة، رقّع بسرعة، وتحقق من الانكشاف من الخارج. افعل ذلك وتتحول ثغرة بأقصى خطورة قيد الاستغلال الفعلي إلى تحديث مجدول بدل تقرير اختراق.

المصادر

• Ubiquiti patches three max severity UniFi OS vulnerabilities (BleepingComputer)
• Ubiquiti patches three critical vulnerabilities in UniFi OS (SC Media)
• Multiple Critical Vulnerabilities in Ubiquiti UniFi OS (CSA Singapore)
• Critical Ubiquiti Vulnerabilities in Attackers' Crosshairs (SecurityWeek)
• Ubiquiti Patches 3 Max-Severity UniFi OS Flaws, 100K Exposed (Daily Security Review)

مصدر الصورة: Herkie — BY-SA