حقائق سريعة

• تحذر وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) من ثغرة أمنية حرجة (CVE-2025-13510) في أجهزة Iskra iHUB وiHUB Lite.
• تسمح هذه الثغرة للمهاجمين بتجاوز المصادقة والسيطرة الكاملة عن بُعد.
• جميع إصدارات بوابات العدادات الذكية هذه متأثرة؛ ولا يوجد تصحيح من الشركة حتى الآن.
• استغلال الثغرة قد يؤدي إلى تعطيل شبكات المرافق، وتمكين السيطرة المستمرة، وتسهيل هجمات إضافية.
• لم تستجب شركة Iskra لطلبات التنسيق، مما يترك المستخدمين عرضة للخطر.

أبواب مفتوحة في شبكة المرافق الرقمية

تخيل شبكة كهرباء مدينة، عروقها تنبض بالبيانات بدلاً من الدم. الآن تخيل أن الأقفال على تلك العروق اختفت بين ليلة وضحاها. هذه هي الحقيقة التي يواجهها آلاف مزودي الخدمات حول العالم بعد أن أطلقت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) تحذيراً بشأن ثغرة حرجة في أجهزة iHUB وiHUB Lite من Iskra - وهي بوابات رقمية رئيسية لأنظمة الطاقة والمياه الذكية.

كيف تعمل الثغرة: لا أقفال، لا مفاتيح

الثغرة، التي تم تصنيفها تحت CVE-2025-13510 وحصلت على تقييم شبه أقصى قدره 9.1 على مقياس CVSS، تتلخص في غياب قفل على لوحة إدارة الجهاز عبر الويب. ببساطة: أي شخص يجد اللوحة على الإنترنت يمكنه الدخول مباشرة، دون الحاجة إلى اسم مستخدم أو كلمة مرور. وبمجرد الدخول، يمكن للمهاجمين تغيير الإعدادات، أو تحميل تحديثات خبيثة، أو حتى الاستيلاء على البنية التحتية المتصلة بالكامل - كما لو أن لصاً لا يقتصر على دخول المنزل، بل يعيد تزيينه ويغير الأقفال خلفه.

التاريخ يعيد نفسه: تصاعد ثغرات إنترنت الأشياء

هذه ليست المرة الأولى التي تتصدر فيها ثغرة حرجة في الأجهزة المتصلة العناوين. في عام 2016، استولى بوت نت Mirai الشهير على آلاف أجهزة "إنترنت الأشياء" غير الآمنة، مما أدى إلى تعطيل مواقع وخدمات حول العالم. ومؤخراً، تم استغلال ثغرات في العدادات الذكية وأنظمة التحكم الصناعية لهجمات فدية وتجسس وحتى تخريب. ما يجعل حالة Iskra مقلقة بشكل خاص هو غياب أي مصادقة على الإطلاق - خطأ أمني أساسي يذكرنا بأيام الإنترنت الأولى، والذي يطارد الآن البنية التحتية الحديثة.

غياب استجابة من الشركة: صمت خطير

ربما الأكثر إثارة للقلق هو صمت شركة Iskra. وفقاً لـ CISA، لم تستجب الشركة لطلبات التنسيق أو تقدم جدولاً زمنياً للإصلاح. ومع عدم توفر تصحيح رسمي، تُترك شركات المرافق والبلديات لمواجهة الموقف بمفردها، مجبرة على عزل الأجهزة المعرضة للخطر عن الإنترنت أو المخاطرة باختراقات كارثية. وقد تم الإبلاغ عن الثغرة لأول مرة من قبل الباحث الأمني سوفِك كاندار، مما يبرز الدور الحاسم للخبراء المستقلين في كشف نقاط الضعف النظامية.

المخاطر: أكثر من مجرد بيانات

الخطر لا يقتصر على سرقة البيانات فقط. يمكن للمهاجمين الذين يستغلون هذه الثغرة التلاعب بإمدادات الطاقة أو المياه، أو تعطيل أنظمة الفوترة، أو إنشاء موطئ قدم لهجمات أعمق على البنية التحتية الحيوية. ومع تحول العدادات الذكية إلى العمود الفقري للمرافق الحديثة، تزداد رهانات السوق - والعواقب الجيوسياسية المحتملة - باستمرار. ومع ضغط المرافق لتحديث أنظمتها، يجب ألا يأتي الإسراع في الاتصال على حساب الأمن الأساسي.

ويكيكروك

• المصادقة: المصادقة هي عملية التحقق من هوية المستخدم قبل السماح له بالوصول إلى الأنظمة أو البيانات، باستخدام طرق مثل كلمات المرور أو القياسات الحيوية.
• بوابة العدادات الذكية: بوابة العدادات الذكية تجمع وتنقل بيانات استهلاك الطاقة من عدة عدادات بشكل آمن، مما يمكّن شركات المرافق من مراقبة وإدارة شبكات الطاقة بكفاءة.
• CVSS (نظام تصنيف الثغرات الشائع): CVSS هو نظام معياري لتقييم خطورة الثغرات الأمنية، ويمنح درجات من 0 (منخفض) إلى 10 (حرج) لتوجيه أولويات الاستجابة.
• البرمجيات الثابتة (Firmware): البرمجيات الثابتة هي برامج متخصصة مخزنة في الأجهزة، تدير عملياتها الأساسية وأمنها، وتمكنها من العمل بشكل صحيح.
• إنترنت الأشياء (IoT): إنترنت الأشياء هو ربط الأجهزة اليومية مثل الكاميرات أو منظمات الحرارة بالإنترنت، مما يسمح لها بمشاركة البيانات وأتمتة المهام.