ترخيص للاختراق: ثغرة AutoPass لدى HPE تفتح الأبواب أمام متسللين عن بُعد

تخيّل خزنة رقمية موثوقًا بها للتحكم في الوصول إلى أثمن تراخيص البرمجيات في مؤسستك - والآن تخيّل بابًا خلفيًا مفتوحًا، غير مرئي لحراس أمنك. هذا هو الواقع الذي واجهه آلاف من عملاء Hewlett Packard Enterprise (HPE) هذا الأسبوع بعد الكشف عن ثغرة خطيرة في خادم تراخيص HPE AutoPass (APLS)، تتيح للمهاجمين عن بُعد التسلل متجاوزين حواجز المصادقة دون حتى كلمة مرور.

خلف الاختراق

الثغرة، المُسجّلة تحت CVE-2026-23600، هي من كوابيس تقنية المعلومات: تجاوز مصادقة عن بُعد يتيح للمهاجمين الوصول إلى الميزات المحمية في خادم تراخيص HPE AutoPass دون تقديم أي بيانات اعتماد صالحة. وبعبارة أخرى، فإن أي شخص لديه وصول شبكي إلى نسخة APLS ضعيفة قد يتمكن من السيطرة، وإدارة التراخيص، وعرض إعدادات حساسة، أو حتى تعطيل العمليات - كل ذلك عن بُعد، ودون أن تلتقطه فحوصات تسجيل الدخول القياسية.

تؤكد نشرة HPE الأمنية نفسها، المنشورة في أواخر فبراير 2026، أن الإصدارات السابقة لـ 9.19 متأثرة. وقد حازت الثغرة على درجة مقلقة تبلغ 7.3 على مقياس CVSS - وهي درجة تشير ليس فقط إلى سهولة استغلالها (لا امتيازات خاصة ولا تفاعل من المستخدم مطلوب) بل أيضًا إلى تأثيرها المحتمل والخطير على السرية والسلامة والتوافر.

ورغم أن HPE تحركت بسرعة لإصلاح المشكلة، فإن إرشادات الشركة تكشف حقيقة أوسع: خوادم التراخيص، التي غالبًا ما تُهمَل في سلم الأولويات الأمنية، هي أهداف عالية القيمة. وتنصح HPE: «عاملوا خوادم التراخيص كجواهر التاج»، حاثّةً المؤسسات ليس فقط على الترقية، بل أيضًا على تقييد التعرض للشبكة، ووضع منافذ الإدارة خلف جدران الحماية، ومراقبة النشاط غير الطبيعي.

تم الإفصاح عن الثغرة بمسؤولية من قبل باحث مجهول يتعاون مع مبادرة Trend Micro Zero Day Initiative - في تذكير بالدور الحاسم الذي يلعبه باحثو الأمن المستقلون في حماية المنظومة الرقمية. لكن مع تباطؤ كثير من المؤسسات في تطبيق التصحيحات، يبقى الخطر حقيقيًا: فالمهاجمون غالبًا ما يسارعون لاستغلال العيوب التي كُشف عنها حديثًا قبل أن يتمكن المدافعون من الاستجابة.

بالنسبة لفرق الأمن، تُعد هذه الحادثة جرس إنذار. فإلى جانب تطبيق التصحيح فحسب، إنها فرصة لإعادة النظر في أساسيات النظافة الأمنية: تقسيم الشبكات، وفرض ضوابط وصول صارمة، وتمحيص السجلات بحثًا عن وصول مريب إلى بنية التراخيص.

نظرة إلى الأمام

مع ازدياد تعقيد سلاسل توريد البرمجيات يومًا بعد يوم، أصبح خادم التراخيص المتواضع أصلًا استراتيجيًا - وهدفًا مغريًا. إن فزع AutoPass لدى HPE تذكير صارخ: في الأمن السيبراني، حتى أكثر أنظمة المكاتب الخلفية اعتيادية يمكن أن تتحول إلى منصة انطلاق للمهاجمين. الدرس؟ طبّق التصحيحات مبكرًا، راقب بلا هوادة، ولا تستهِن أبدًا بقيمة مفاتيحك الرقمية.

WIKICROOK

• تجاوز المصادقة: تجاوز المصادقة هو ثغرة تتيح للمهاجمين تخطي عملية تسجيل الدخول أو خداعها، والحصول على وصول إلى الأنظمة دون بيانات اعتماد صالحة.
• CVSS: CVSS (نظام تسجيل نقاط الثغرات الشائعة) هو طريقة معيارية لتقييم شدة العيوب الأمنية، بدرجات تتراوح من 0.0 إلى 10.0.
• مبادرة Zero Day Initiative: مبادرة Zero Day Initiative هي برنامج يكافئ الباحثين على الإفصاح المسؤول عن ثغرات البرمجيات، ما يساعد المورّدين على إصلاح العيوب قبل أن يستغلها المهاجمون.
• خادم التراخيص: يدير خادم التراخيص تراخيص البرمجيات مركزيًا ويتحقق منها، بما يضمن أن المستخدمين المصرح لهم فقط يمكنهم الوصول إلى البرمجيات المرخّصة ضمن شبكة المؤسسة.
• إدارة التصحيحات: إدارة التصحيحات هي العملية الروتينية لتحديث البرمجيات بإصلاحات أمنية وتحسينات للحماية من الثغرات والتهديدات السيبرانية.