ما زلت على iOS 16؟ المتسللون يستغلون ثغرة سفاري لعام 2024 على الآيفونات القديمة

في 4 نوفمبر 2026 أضافت وكالة أمن الأنظمة السيبرانية والبنية التحتية الأمريكية الثغرة CVE-2024-27834، وهي خلل في Apple WebKit، إلى قائمة الثغرات المستغلة المعروفة. ولدى الوكالات الفيدرالية الأمريكية مهلة حتى 18 نوفمبر 2026 لتطبيق الإصلاح. وتذكر CISA المنتج المتأثر باسم Apple "منتجات متعددة".

الثغرة تعود إلى عام 2024. وقد أصلحتها Apple في 13 مايو 2024 في iOS 17.5 وSafari 17.5، وفي iOS 16.7.8 لأجهزة iPhone 8 وiPhone 8 Plus وiPhone X الأقدم. وعادت إلى الأخبار لأن المهاجمين ما زالوا يستخدمونها ضد الهواتف التي لم تثبت هذا التحديث مطلقًا. الإصلاح موجود منذ أكثر من عامين. والهواتف التي تتعرض للهجوم هي تلك التي توقفت عن التحديث قبل مايو 2024.

ملخص سريع قبل التفاصيل:

• إذا كان جهاز iPhone 8 أو 8 Plus أو X لديك يعمل بنظام iOS 16.7.8 أو أحدث، فإن سلسلة الهجوم هذه تحديدًا لا تنجح عليه.
• إذا توقف عند iOS 16.7.7 أو أقدم، فأنت معرض للخطر ويجب أن تحدّث اليوم.
• إذا كنت تستخدم نسخة قديمة من Chrome على Android، فهناك هجوم ذو صلة ينطبق عليك أيضًا. الإصدار Chrome 146 أو أحدث يعالجه.

ما الذي أضافته CISA في 4 نوفمبر، ولماذا عادت ثغرة 2024؟

الثغرة نفسها تقع في WebKit، محرك التصفح الذي يقف خلف Safari ومعظم متصفحات آيفون. وهي تتيح لمهاجم يملك مسبقاً صلاحية القراءة والكتابة في الذاكرة تجاوز Pointer Authentication، وهي إحدى آليات دفاع آيفون. وتنسب Apple الفضل إلى Manfred Paul العامل مع Zero Day Initiative التابعة لشركة Trend Micro. يمكنك الاطلاع على ملاحظات Apple الأصلية حول الإصلاح في iOS 17.5 وفي iOS 16.7.8.

الحملة التي وراء إدراج CISA وثّقتها شركة الأمن الفرنسية Sekoia في تقرير نُشر في اليوم نفسه. نتناول ما قامت به في الأقسام التالية.

ما هي الهواتف المعرضة للخطر؟

تنقسم سلاسل الهجوم التي وثّقتها Sekoia حسب الجهاز وإصدار البرنامج. سلسلة الهجمات على الآيفون المبنية حول CVE-2024-27834 لا تعمل إلا على الهواتف التي ما زالت على iOS 16.7.7 أو إصدار أقدم، لأن Apple أصلحت هذه الثغرة في iOS 16.7.8 في مايو 2024. أما السلسلة الثانية على الآيفون فتستهدف iOS 18.5، والثالثة تستهدف Chrome على Android، وتحديداً الإصدارات من 139 إلى 145.

ينطبق تنبيه واحد على iPhone 8 و8 Plus وX. هذه الهواتف تحصل على بعض الإصلاحات في iOS 16 وليس جميعها. الهاتف المحدّث بالكامل إلى iOS 16.7.16 يعطّل السلسلة A، لكنه قد يحمل ثغرات أخرى في WebKit أصلحتها إصدارات iOS الأحدث. هذا يحدّ من الاستخدامات المناسبة لهذه الهواتف، وهو ما نتناوله أدناه.

كيف تحوّلت زيارة موقع إلى هجوم؟

تُسمى هذه الطريقة "بركة الماء". فبدل إرسال رابط أو رسالة إلى الأهداف، يزرع المهاجمون شيفرة على مواقع يُرجَّح أن هذه الأهداف تزورها. تتصفح موقعا تثق به، فيقدم لك الموقع الثغرة المستغلة.

وثّقت شركة Sekoia المواقع التي شاركت في هذه الحملة، ولم تكن مواقع إخبارية. ضمّت القائمة صفحات مشروعة تم اختراقها: شركة أوكرانية لإنتاج الغاز، ورابطة تجارية أمريكية لقطاع الصناعات الكيميائية، وحزب سياسي تشيكي، وموقع بلغاري مرتبط بالجيش. كما وُجد نطاقان مقلّدان لموقعين آخرين، أحدهما يحاكي موقع الذكرى السنوية الأمريكية America250 والآخر يحاكي فندقا فاخرا في لندن. وكانت هناك شيفرة تحليل ويب أوكرانية مخترقة اسمها Plerdy موجودة على آلاف المواقع الأوكرانية في معظمها من 27 أغسطس إلى 3 سبتمبر 2026. أما الدول المتأثرة فهي الولايات المتحدة وأوكرانيا وجمهورية التشيك وبلغاريا، إضافة إلى بريطانيا عبر النطاق المقلّد للفندق.

هناك تفصيلان يهمان كل من يقرأ هذا من هاتفه:

• لم تكن هناك حاجة إلى أي نقرة. تقول Sekoia إن الثغرات كانت تُقدَّم دون أي تفاعل من المستخدم، فمجرد تحميل الصفحة كان كافيا.
• لم يبقَ أي أثر على الهاتف بعد إعادة التشغيل، إذ لم يكن هناك أي استمرارية.

تربط Sekoia هذه الحملة بثقة متوسطة إلى عالية بمجموعة APT29، وهي مجموعة تشير الشركة إلى أنها مرتبطة على نطاق واسع بجهاز الاستخبارات الخارجي الروسي. وبصرف النظر عن نسبة الهجوم إلى جهة معينة، فالدرس العملي هو الدرس نفسه من مقالتنا لعام 2018 حول Safari وWebKit: المتصفح المحدَّث هو الفارق بين صفحة معادية وصفحة غير ضارة. وتخلص Sekoia نفسها إلى أن المستخدم الذي يشغّل نظام تشغيل محدَّثا محمي من هذه الهجمات، لأن كل الثغرات كان المورّد قد أصلحها قبل بدء الحملة.

هل يصبح آيفون 8 أو آيفون X آمنا بعد التحديث؟

إلى حد كبير. تحتاج السلسلة A إلى ثغرتين تعملان معًا. إحداهما، CVE-2024-27834، تم إصلاحها في iOS 16.7.8 في 13 مايو 2024، وفقًا لـ ملاحظات آبل. لذلك فإن الهاتف الذي يعمل بنظام iOS 16.7.8 أو أحدث، بما في ذلك الإصدار الحالي iOS 16.7.16، يقطع هذه السلسلة، ولا تنجح الهجمة ضده.

الحد هنا هو الثغرة الأخرى في السلسلة، CVE-2025-43529. تذكر ملاحظات آبل إصلاحًا لها في iOS 18 وiOS 26، لكن لا شيء في iOS 16. وبالتالي فإن آيفون 8 أو X المحدّث بالكامل يحجب هذه الحملة، لكنه قد يحمل ثغرات WebKit أخرى لم تعد موجودة في الآيفونات الأحدث. يتلقى iOS 16 إصلاحات أحيانًا، لا كل الإصلاحات، وتزداد الفجوة بينه وبين iOS الحالي مع الوقت.

ماذا يعني ذلك عمليًا:

• الهاتف الذي يعمل بنظام iOS 16.7.7 أو أقدم معرّض للسلسلة A. حدّثه إلى iOS 16.7.16 اليوم، من خلال الإعدادات، ثم عام، ثم تحديث النظام.
• الهاتف الذي يعمل بنظام iOS 16.7.16 آمن من هذه الحملة، لكن لا ينبغي اعتباره محدثًا بالكامل. استخدمه للمكالمات والرسائل والتصفح، وانقل حساباتك البنكية وحسابات العمل إلى هاتف أحدث.
• الهاتف الذي لم يعد يتلقى أي تحديثات على الإطلاق يجب إحالته إلى التقاعد. سوف يتراكم لديه ثغرات متصفح غير مُصلحة.

الإصدار الحالي من iOS 16، وهو 16.7.16، صدر في 11 مايو 2026، وفقًا لـ ملاحظات إصدار آبل.

ماذا عن هواتف أندرويد وكروم؟

السلسلة الثالثة تستهدف أندرويد وليس iOS. تجمع بين CVE-2026-3910، وهي ثغرة في كروم، وCVE-2025-27038، وهي ثغرة في برنامج تشغيل رسوميات من كوالكوم. وفقًا لشركة Sekoia، تسرق هذه السلسلة كوكيز كروم وكلمات المرور المحفوظة وسجل التصفح وإعدادات Wi-Fi.

تم إصلاح ثغرة كروم في 12 مارس 2026 ضمن الإصدار Chrome 146 على الحواسيب المكتبية وعلى أندرويد. ذكرت جوجل في حينه أن استغلالًا للثغرة كان منتشرًا على أرض الواقع. وهذا يعني أن القاعدة نفسها تنطبق هنا: الهواتف المتأثرة هي التي تعمل بنسخ كروم من 139 إلى 145، وهي النسخ التي توقف تحديثها قبل مارس 2026.

ثمة تحديثان منفصلان مهمان على أندرويد، ولا يصلان معًا:

• المتصفح: افتح متجر Play، وابحث عن Chrome، واضغط على تحديث. يمكنك التحقق من النسخة المثبتة من إعدادات Chrome ثم "حول Chrome". المطلوب هو النسخة 146 أو أحدث.
• نظام التشغيل: تُصلح ثغرة برنامج تشغيل كوالكوم عبر تحديثات نظام أندرويد، من الإعدادات ثم "النظام" أو "تحديث البرامج". متصفح Chrome محدَّث على نظام أندرويد غير مرقّع ما زال يحمل النصف الثاني من السلسلة.

وصول إصلاح برنامج التشغيل إلى هاتف معيّن يتوقف على قيام الشركة المصنّعة بإرسال تحديثات النظام. الهاتف الذي لا يتلقى أي تحديثات يجب أن يُستبدل، تمامًا كجهاز iPhone قديم. الخطر يتركز في الهواتف التي لا يثبّت أصحابها التحديثات المتاحة لهم، وهو النمط نفسه الملاحظ في السلاسل الثلاث كلها في هذه الحملة. إذا ظل متصفح Chrome لديك على النسخة 145 أو أقل لأشهر، فاعتبر ذلك دافعًا للتحقق من التحديثات اليوم.

ماذا عليك أن تفعل اليوم؟

الإصلاحات عبارة عن تحديثات عادية، وقد رُقّعت كل الثغرات في هذه الحملة من قبل الشركة المصنّعة قبل أن تبدأ الهجمات.

• على آيفون، انتقل إلى الإعدادات، ثم عام، ثم تحديث البرنامج، وثبّت ما يُعرض عليك. على مالكي iPhone 8 و8 Plus وX أن يصلوا إلى iOS 16.7.16 أو أحدث.
• على أندرويد، افتح متجر Play، وابحث عن Chrome، واضغط على تحديث. تحقّق من النتيجة في إعدادات Chrome، ثم حول Chrome. المطلوب هو الإصدار 146 أو أحدث.
• ثبّت تحديثات نظام أندرويد بشكل منفصل، من الإعدادات، ثم النظام أو تحديث البرنامج. تحديث المتصفح وحده لا يغلق السلسلة كاملة.
• إذا كان هاتفك لم يعد يتلقى أي تحديثات على الإطلاق، فتوقّف عن استخدامه للخدمات المصرفية وحسابات العمل والتسوّق. انقل تلك الحسابات إلى جهاز يتلقى التحديثات الأمنية.
• إذا كنت تستخدم iPhone 8 أو 8 Plus أو X لأي أمور حساسة، فابدأ بالتخطيط لاستبداله. الإصلاحات المتفرقة ليست مثل الدعم الكامل.
• وجدت Sekoia عدم وجود آلية استمرارية، أي أن شيئًا لا يبقى على الهاتف بعد إعادة التشغيل، لكن الكوكيز التي سُرقت بالفعل تبقى مسروقة؛ إذا كان من الممكن أن يكون هاتف غير مُرقّع قد حمّل إحدى هذه الصفحات، فسجّل الخروج من جميع الجلسات على حساباتك المهمة ثم سجّل الدخول من جديد.

لا شيء من هذا نصيحة جديدة. إنها الروتين نفسه الذي وصفناه في مقالتنا لعام 2014 حول ثغرة SSL في Apple: تحقّق من التحديثات، ثبّتها، وكرّر. يجمع مركز أمن الأجهزة المحمولة لدينا المزيد من هذه الأساسيات في مكان واحد.

هل يحميك الـVPN من ثغرة في المتصفح؟

لا. الـVPN يشفّر حركة البيانات بين جهازك وخادم الـVPN ويخفي عنوان الـIP عن المواقع التي تزورها. ويؤمّنك على شبكات الواي فاي العامة، وهو ما نغطيه في مقالنا عن الواي فاي العام. لكنه لا يصلح Safari أو Chrome، ولا يفحص الصفحات التي تحمّلها.

الثغرات في هذه الحملة وصلت عبر المتصفح نفسه. إذا قدّمت صفحة مخترَقة ثغرة، فإنها تصل داخل النفق المشفّر مثل بقية الصفحة. يرى الـVPN تدفقاً من البيانات المشفرة نحو خادم واحد، وليس لديه طريقة لتمييز صفحة معادية عن صفحة بريئة. التشفير يحمي البيانات أثناء انتقالها، لا الشيفرة التي يشغّلها متصفحك بعد وصولها.

أما حيث يفيد الـVPN فهو بقية استخدامك للهاتف. على شبكة واي فاي في الفندق أو المطار أو المقهى، يبقي حركتك بعيدة عن أي شخص آخر على تلك الشبكة. وهو ما وصفناه في مقالنا عن الواي فاي العام. إنها مشكلة مختلفة عن التي تستغلها هذه الحملة.

الطبقتان تقومان بعملين مختلفين. التحديثات تغلق الثغرات التي تعتمد عليها ثغرات المتصفح. والـVPN يحمي حركتك على الشبكات التي لا تتحكم فيها. الـVPN طبقة، والتحديثات هي الطبقة الأخرى.