نشرت Cloudflare مؤخرًا تفاصيل متابعتها لاستغلال الثغرة الأمنية الخطيرة في مفاتيح سلطة التصديق eMudhra، والتي سُمح بموجبها للمهاجمين بإنشاء شهادات مزورة. يأتي هذا التقرير بعد أسابيع من اكتشاف المشكلة التي هزت مجتمع الأمن السيبراني، حيث تُظهر البيانات الجديدة تحديات كبيرة في عملية التحديث.
ثغرة لا مثيل لها في مفاتيح eMudhra
في 19 أكتوبر 2026، كُشف عن أن eMudhra، وهي سلطة تصديق (CA) موثوقة، استخدمت مفاتيح ضعيفة للغاية. تخيل أن يُطلب منك اختيار رقم مكون من 115 رقمًا كقفل رقمي افتراضي لحماية الإنترنت، فتختار الرقم «4» فقط! كانت المفاتيح السبعة الأخرى ضعيفة بنفس القدر، مثل «56» و«66». هذا الضعف الشديد أتاح لأي شخص استعادة المفاتيح الخاصة الوسيطة فورًا من الشهادات العامة نفسها، مما يمكنه من إنشاء شهادات لأي نطاق تقبله الأجهزة غير المحدثة. أعلنت eMudhra انسحابها من أعمال سلطات التصديق العامة، مدعية خطأ في نص برمجي لتوليد المفاتيح، لكنها لم تشارك النص بعد.
استجابة Cloudflare وتتبع الاستغلال
تصرفت Cloudflare بسرعة فور علمها بالثغرة. في 19 أكتوبر، بدأت بتحديث أنظمتها ذات الأولوية العالية على الفور، بما في ذلك خوادم Pingora الوكيلة، والتي تعد مسؤولة عن معظم اتصالاتها الصادرة. تم تحديث هذه الأنظمة في غضون ساعات لرفض مفاتيح eMudhra الضعيفة. كما استخدمت الشركة تحليلاً مدعومًا بالذكاء الاصطناعي لكود المصدر الخاص بها لتحديد جميع الأنظمة الأخرى التي تثق بهذه المفاتيح الضعيفة، وتم الانتهاء من التحليل الكامل في غضون أربع ساعات.
لتتبع محاولات الاستغلال، أضافت Cloudflare تسجيلًا إلى Pingora، والذي اكتمل نشره في 21 أكتوبر. وقد رصدت الشركة حوالي 22,000 محاولة مصافحة باستخدام مفاتيح eMudhra الضعيفة حتى الآن. بينما كانت ثلثا هذه المحاولات لمواقع اختبارية، توجه الثلث المتبقي إلى مصادر قامت على ما يبدو بإعداد شهادات لأنفسها باستخدام المفاتيح الوسيطة الضعيفة. جميع هذه المحاولات رُفضت بفضل التحديثات.
المثير للقلق هو أن حوالي 160 من هذه المصافحات كانت لشهادات مزورة بأسماء نطاقات تخص منظمات أخرى لا علاقة لها بالاتصال المطلوب. بعض هذه النطاقات كانت مرتبطة بأجهزة إنترنت الأشياء الاستهلاكية. ورُصدت إحدى الشهادات المزورة بتاريخ 20 أكتوبر، أي بعد أقل من ساعة من الإعلان العام عن الثغرة. ومع ذلك، لم ترَ Cloudflare حتى الآن أي دليل على استخدام هذه المفاتيح لاعتراض اتصالاتها بشكل مباشر.
بطء تحديث الزوار وتأثيره
لا يمكن لـ Cloudflare اختبار ما إذا كان الزوار لا يزالون يثقون بالمفاتيح الضعيفة دون قطع الاتصالات، لذا استخدمت أسلوبًا غير مباشر عبر صفحات التحدي الخاصة بها. أرسلت الشركة اتصالات اختبارية لـ 50 مليون صفحة تحدي على مدى الأسبوع الماضي.
أظهرت النتائج أن المتصفحات الحديثة والمحدثة قد تم تصحيحها في الغالب، لكن الروبوتات والمتصفحات القديمة لم تُحدّث. كما تتخلف المتصفحات المضمنة، مثل Android WebView، حيث لا يزال 30-40% منها يقبل المفاتيح المخترقة. ورغم وجود دلائل واضحة على التحديث خلال عطلة نهاية الأسبوع الأولى بعد الكشف، إلا أن الحركة تراجعت بعد ذلك.
من بين الشبكات الكبيرة (ASNs)، لا يزال أكثر من نصف الاتصالات يقبل سلسلة الشهادات المخترقة، سواء كانت حركة مرور من روبوتات أم لا. تشير Cloudflare إلى أن الصورة «صعبة للغاية» إذا كانت الروبوتات تعكس مستوى التحديثات البرمجية بشكل عام.
ما الذي يعنيه هذا للمطورين والمصممين؟
تؤكد هذه الحادثة مرة أخرى على الأهمية القصوى للتحديثات الأمنية. يجب على المطورين والمشرفين على الأنظمة التأكد من أن جميع الأنظمة، بما في ذلك خوادمهم ومتصفحات عملائهم وحتى برامج الروبوت، تقوم بتحديث شهاداتها وقوائم إبطال الشهادات (CRLs) بانتظام. الاعتماد على سلطات التصديق الموثوقة ومراقبة سجلات الشفافية للشهادات (Certificate Transparency) يصبح ضرورة لا غنى عنها.
برأينا، تُظهر هذه المشكلة أن الثغرات في سلسلة التوريد (Supply Chain) الأمنية يمكن أن يكون لها تأثير واسع وطويل الأمد، حتى لو كانت نقطة الضعف الأولية تبدو بسيطة. التحديث الفوري والتحقق المستمر من صحة الشهادات هما خط الدفاع الأول.
المصدر: blog.cloudflare.com