اكتشاف واستغلال الثغرات في برمجيات حرجة وحقيقية باستخدام كلود

على مدى الأشهر القليلة الماضية، استخدمنا نموذج بحث داخلي غير مُطلق لاكتشاف ثغرات حرجة في بعض أكثر البرمجيات استخدامًا في العالم، مثل المتصفحات وأنظمة التشغيل. في هذه التدوينة، نشارك تفاصيل خمس سلاسل هجوم، أدت إلى تنفيذ عن بُعد للتعليمات البرمجية وتأثيرات حرجة أخرى مع تفاعل قليل أو معدوم من المستخدم. تُظهر هذه السلاسل الهجومية قدرة النموذج على إنشاء استغلالات متطورة متعددة الخطوات في البرمجيات مفتوحة المصدر والاحتكارية على حد سواء. أي ثغرات في هذه المنتجات يمكن أن تؤثر على مليارات المستخدمين. كما أنها من بين أكثر البرمجيات حساسية أمنيًا في العالم، ما يجعلها مؤشرًا لاختبار قدرات النماذج في أبحاث الثغرات والقدرات السيبرانية.

أبلغنا عن كل ثغرة إلى المورّد المتأثر وفقًا لسياسة الإفصاح المنسّق عن الثغراتالخاصة بنا، التي تمنح المطورين 90 يومًا للترقيع و45 يومًا إضافية قبل أن نناقش تفاصيل تتجاوز ما هو مُضمّن بالفعل في إشعار عام.

1. تنفيذ عن بُعد للتعليمات البرمجية بنقرة واحدة في كروم

بعد مطالبة أولية، كتب كلود سلسلة استغلال كاملة تمكّن المهاجم من تنفيذ تعليمات برمجية عشوائية بصلاحيات المستخدم، خارج صندوق الحماية الخاص بالمتصفح. يُشغّل إثبات المفهوم الخاص بنا تطبيق الآلة الحاسبة من متصفح كروم بالإعدادات الافتراضية الأصلية على macOS خلال ثوانٍ من تحميل الصفحة، دون أي تفاعل إضافي من المستخدم:

• اكتشف كلود ثغرة في محرك جافاسكريبت الخاص بكروم، V8، سمحت لصفحة ويب خبيثة بإفساد ذاكرة الكومة (heap) الخاصة بـ V8.
• اكتشف كلود ثغرة ثانية للخروج من صندوق حماية منطقة ذاكرة V8 وتحايل على ASLR. حدّدت هذه الخطوة موقع تعليمات كروم البرمجية في الذاكرة واستخدمت سلسلة برمجة موجّهة العودة (ROP) للسيطرة الكاملة على عملية العارض.
• كان العارض المخترَق محصورًا بصندوق حماية العمليات الخاص بكروم. ثم اكتشف كلود حالة تسابق (race condition) في CacheStorage. استخدم العارض المخترَق حالة التسابق لقراءة ذاكرة خارج صندوق الحماية والتعرّف على تخطيط ذاكرة عملية المتصفح ذات الامتيازات.
• أخيرًا، اكتشف كلود ثغرة استخدام بعد التحرير (use-after-free) في FedCM، ميزة تسجيل الدخول الموحّد في كروم، سمحت للاستغلال بتنفيذ تعليمات برمجية عشوائية خارج صندوق الحماية.

أبلغنا عن نتائجنا إلى جوجل: تم إسناد 62 من ثغرات CVE وتم ترقيعها اعتبارًا من الإصدار Chrome 156، وجرى تصنيفها جميعًا كحرجة أو عالية الخطورة. ومن بينها 13 ثغرة هروب من صندوق الحماية و21 ثغرة كان يمكن استخدامها لاختراق العارض.

2. سلسلة استغلال بنقرة واحدة في سفاري

بعد مطالبة أولية، كتب كلود سلسلة استغلال سمحت لجافاسكريبت أي موقع ويب بتجاوز سياسة المصدر نفسه (SOP) بالكامل. يمكن للاستغلال الوصول إلى سجل تصفح المستخدم في سفاري وملفات تعريف الارتباط (كوكيز) وغيرها من البيانات الحساسة، ويمكنه إرسال طلبات HTTP مُصادق عليها إلى نطاقات أخرى وقراءة الردود. على سبيل المثال، إذا كان المستخدم مسجّل الدخول إلى حساب بريده الإلكتروني، يمكن للمهاجم الآن قراءة بريده؛ وإذا كان مسجّل الدخول إلى حسابه المصرفي، يمكن للمهاجم الاطلاع على أرصدة الحساب أو محاولة إجراء تحويلات.

ولتحقيق ذلك، تجاوز كلود عدة طبقات من وسائل الحماية مدمجة في سفاري:

• اكتشف كلود ثغرة استخدام بعد التحرير (UAF) في JavaScriptCore، محرك جافاسكريبت الخاص بسفاري، والمكتوب بلغة C++. أدّت بعض عمليات TypedArray إلى الكتابة عبر مؤشرات قديمة إلى ذاكرة محرَّرة، فتجاوزت البيانات الوصفية (metadata) الخاصة بـ TypedArray.
• تخفّف آلية Gigacage في WebKit من هذا النوع من الهجمات عبر عزل بيانات TypedArray في منطقة منفصلة من الذاكرة. اكتشف كلود أن بعض المتغيرات في هذه المنطقة كانت تُستخدم للفهرسة في مناطق أخرى، ما منحه إمكانية قراءة/كتابة عشوائية خارج الـ Gigacage.
• تُنفَّذ جافاسكريبت جميع مواقع الويب داخل صندوق حماية WebContent، الذي يمنع أخطاء مثل الـ UAF من الوصول إلى بيانات المتصفح الحساسة على القرص. اكتشف كلود ثغرة في آلية IPC الخاصة بصندوق الحماية سمحت للاستغلال بقراءة سجل التصفح والكوكيز وقواعد بيانات الجلسات المخزّنة في سفاري من القرص.
• أخيرًا، استخدم كلود ثغرة الـ UAF لتجاوز متغير في الذاكرة وتعطيل سياسة SOP، ما سمح لصفحة المهاجم بقراءة البيانات من أي مصدر آخر.

تُعد هذه السلسلة مثيرة للاهتمام لأنها هجوم قائم على البيانات فقط لا يعتمد أبدًا على تنفيذ تعليمات برمجية عشوائية. وبدلاً من ذلك، تستخدم وصولاً كاملاً للقراءة/الكتابة إلى ذاكرة عملية المتصفح لتعديل علامة أمنية وحجم كائن ورابط URL. كما أن عدة نقاط ضعف فيها ليست ثغرات بذاتها، بل سلوكيات مقصودة تصبح قابلة للاستغلال عند دمجها.

اعترفت أبل بتقريرنا في اليوم نفسه الذي قدّمناه فيه ونفّذت إصلاحًا على الفور. هذا الإصلاح متاح للمستخدمين.

3. تجاوز شاشة قفل أندرويد

بعد التوجيه الأولي، كتب كلود استغلالًا يتيح للمهاجم استخراج الصور والمعلومات الشخصية الأخرى من هاتف أندرويد مسروق دون فتح قفله. جمع هذا العمل بين ثلاث طرق: تحليل الشيفرة المصدرية للأجزاء مفتوحة المصدر من أندرويد، والهندسة العكسية وفك التشويش للملفات الثنائية لخدمات Google Play، والاختبار المباشر على جهاز Google Pixel 9 فعلي. وقد كشف هذا عن مجموعة واسعة من الثغرات في المكونات مفتوحة المصدر والاحتكارية على حد سواء. ثم ربط كلود ثلاثًا منها في الاستغلال النهائي.

لأندرويد عدة طبقات من الحماية ضد هذا الهجوم. وجد كلود طريقة للالتفاف على كل واحدة منها:

• الهاتف المحمول بأندرويد المقفل مصمم بحيث لا ينقل البيانات عبر USB. وجد كلود أن مضيف USB بإعداد معين يتجاوز ذلك.
• بروتوكول النقل من جهاز إلى جهاز يرفض أوامر البيانات القادمة من أطراف غير مصرح لها. وجد كلود طريقة لتجاوز فحص التصريح وبدء عملية الاقتران.
• الاقتران محمي باتفاقية مفاتيح موثقة تطلب من المستخدم التحقق من رمز من ستة أرقام. وجد كلود خللًا يتجاوز هذا التحقق ويتصرف كما لو أن المستخدم ضغط "السماح".
• من المفترض ألا تحمل عمليات نقل USB محتويات الملفات، وفقًا لفحص مضمّن في الشيفرة. وجد كلود آلية بديلة ترسل بايتات خام عبر USB ولا يشملها الفحص. وطلب الاستغلال محتويات الملفات من خلالها.

تمت معالجة هذه المشكلة من قبل Google.

4. حرمان الخدمة عن بُعد في Windows

بعد التوجيه الأولي، كتب كلود استغلالًا كان سيسمح للمهاجم بتعطيل أي جهاز يعمل بنظام Windows يستجيب لطلبات HTTP/3 عن بُعد باستخدام التنفيذ الأصلي لويندوز. كانت الصعوبة في هذه الحالة هي تحديد الثغرة من الأساس. بعد ذلك التوجيه الأولي، أبلغنا عن هذه الثغرة مباشرة إلى Microsoft، التي عالجت الثغرة وأسندت إليها CVE-2026-33096.

الثغرة التي حددها كلود كانت قراءة خارج الحدود تتعلق بسلامة الذاكرة في تنفيذ نواة ويندوز لبروتوكول QUIC. يمكن للمهاجم الوصول إلى مسار الشيفرة الضعيف عن بُعد عبر الشبكة وإرسال حزم قليلة من البيانات إلى خادم في وضع الاستماع لتعطيل الجهاز وإعادة تشغيله. ومن خلال إرسال هذه الطلبات بشكل متكرر، يمكن تعطيل الخادم باستمرار، ما يؤدي إلى فقدان جميع المستخدمين الوصول إلى الخادم. نقدر أن هناك على الأرجح عدة ملايين من هذه الخوادم في وضع الاستماع على الإنترنت.

اكتشف كلود هذه الثغرة من خلال تحليل الملفات الثنائية. قمنا بتزويد النموذج بنسخة من ملف ويندوز التنفيذي وطلبنا من كلود إجراء الهندسة العكسية لطريقة عمل البرنامج باستخدام أدوات الهندسة العكسية الموجودة (مثل Ghidra)، وكتابة برنامج بلغة C مشروح بالكامل يعيد إنتاج الميزات ذات الصلة، ومقارنة سلوك البرنامج المعاد إنتاجه بالملف الثنائي لضمان صحته، ثم دراسة الشيفرة بحثًا عن الثغرات. وعندما طلبنا من كلود تحديد المشكلات ذات الخطورة الأعلى محتملًا، أبرز هذه الثغرة القابلة للاستغلال عن بُعد.

5. تنفيذ الشيفرة عن بُعد بدون نقرة في Linux

بينما يركز هذا المنشور على منتجات الأطراف الثالثة، استمر عملنا على المصادر المفتوحة. مع كلود، اكتشفنا ثغرات تصعيد صلاحيات محلية في OpenBSD وFreeBSD وLinux؛ وعددًا من حالات الهروب من العزل في بنية العزل الشهيرة؛ والعديد من الثغرات في تطبيقات ويب مهمة. كما وجدنا ثغرات تنفيذ شيفرة عشوائية قابلة للتفعيل عن بُعد (بدون نقرة) في مجموعة بروتوكولات الشبكة في نواة لينكس، وقد تم إصلاحها في المصدر الرئيسي والإفصاح عنها علنًا. نوضح مثالًا واحدًا من هذا النوع أدناه.

بعد التوجيه الأولي، كتب كلود استغلالًا يتيح لمهاجم عن بُعد إرسال حزم إلى خوادم Linux لديها مستمع multipath TCP لتنفيذ أوامر عشوائية بصلاحيات root، دون أي بيانات اعتماد أو تفاعل من المستخدم. الثغرة الأساسية هي خطأ UAF ناتج عن حالة سباق في مجموعة بروتوكولات الشبكة في النواة. يتكون الاستغلال الكامل من مرحلتين رئيسيتين:

• في المرحلة الأولى، يتغلب المهاجم على KASLR عن بُعد. يستغل السباق ليجعل النواة تقرأ حقل طول يتحكم فيه المهاجم لنسخ بايتات إضافية وإرسالها إليه، وطالما تضمن أحد هذه القراءات الزائدة مؤشر نواة في الرد، يتعلم المهاجم تخطيط فضاء عناوين النواة.
• في المرحلة الثانية، يختطف المهاجم مسار التحكم. يستغل نفس خطأ UAF لتجاوز سعة مخزن مؤقت والكتابة فوق مؤشر استدعاء رجعي بعنوان حمولة سبق للمهاجم تجهيزها في ذاكرة النواة عبر ميزة بروتوكول عادية. عندما تستدعي النواة الاستدعاء الرجعي، تربط الحمولة سلسلة من الاستدعاءات لوظائف النواة الموجودة، وتنتهي بتشغيل أمر shell يختاره المهاجم بصلاحيات root.

الخاصية الممكّنة لحالة السباق هذه هي أن الخسارة في السباق تفشل فقط في المصافحة دون تعطيل النظام بأكمله، لذا يمكن للمهاجم العازم إعادة المحاولة إلى ما لا نهاية حتى ينجح. في إثبات المفهوم لدينا، يستغرق تسريب مؤشر نواة 48 دقيقة وخمس دقائق إضافية للوصول إلى تنفيذ أمر shell. تم إصلاح هذه الثغرة (CVE-2026-98432) في المصدر الرئيسي وتم ترحيل الإصلاح إلى جميع فروع النواة المستقرة المدعومة.

ما تعلمناه

على مدار عملية استخدامنا لكلود في هذا العمل الأمني، حددنا عددًا من الرؤى التي شكّلت نهجنا. ونعتقد أن اثنتين منها مهمتان بشكل خاص.

توسيع نطاق الحوسبة وقت الاختبار وتنوع أدوات الفحص يزيدان بشكل كبير من عدد الثغرات التي تجدها. بنينا منصة تشغل أعدادًا كبيرة من وكلاء الفحص بالتوازي، وتقيس كل أداة فحص بعدد الثغرات الإضافية التي تساهم بها في المزيج، وتتابع التغطية ديناميكيًا لتعالج أدوات الفحص قاعدة الشيفرة بأكملها.

تتراوح الاستراتيجيات بين التغطية البحتة (هل توجد ثغرة في هذه الدالة؟) إلى القائمة على الهدف (هل يكشف هذا التطبيق أي شيء قد يعرّض بيانات العملاء للخطر؟) إلى القائمة على نموذج التهديد (هل يتجاوز أي شيء في هذا التطبيق نموذج التهديد الموثّق الخاص به؟). كما استخدمنا Claude لإجراء تحليل آلي للمتغيّرات على كل نتيجة مؤكَّدة. وتخضع جميع النتائج لخط معالجة موحّد للتحقق وتصنيف المخاطر، حتى نتمكن من تجربة الماسحات الجديدة بحرية دون خفض معيار الجودة.

إصلاح الأعمال المتراكمة الحالية لا يحل سوى نصف المشكلة؛ أما النصف الآخر فهو خفض معدل دخول الثغرات الجديدة إلى قاعدة الشيفرة. ولتحقيق ذلك، نوصي بالمسح وقت طلب الدمج (PR). لقد بنّينا إرشادات أمنية مباشرة في عملية التطوير لدينا من خلال إضافة (plugin) لـ Claude Code، وقد أطلقناها للعموم.

ماذا يعني هذا للمدافعين

تمتلك النماذج الرائدة القدرة على اكتشاف ثغرات متعددة ودمجها في استغلال (exploit) عملي. كانت هذه المهارات تاريخيًا حكرًا على فرق متخصصة قليلة تتمتع بخبرة في هذه الأهداف. أما الآن، فقد صار من الممكن للنماذج القيام بذلك بمشاركة بشرية قليلة، ثم إثبات ذلك عبر إنتاج استغلال عملي يمكن لأي شخص تشغيله والتحقق منه.

إن تمكين المدافعين بنماذج قوية أمر بالغ الأهمية لمنحهم سبقًا في ترقيع الأنظمة قبل المهاجمين. مؤخرًا، أطلقنا نسخة موسّعة من برنامج التحقق السيبراني، الذي يتيح قدرات سيبرانية متقدمة ومصنِّفات حجب مخفَّضة للمهنيين الأمنيين المؤهلين. ويشمل ذلك الوصول إلى أقوى نماذجنا، بما في ذلك Claude Opus 5.5 وClaude Sonnet 5.5 وClaude Mythos 5.1 ونماذج جديدة أخرى مستقبلًا. تظل نصيحتنا للمدافعين كما هي: مسح شفرتك البرمجية الخاصة أهم من أي وقت مضى.

المؤلفون & الشكر والتقدير

المساهمون

Nicholas Carlini، David Dworken، Xinyang Ge، Ben Morris، Milad Nasr، Chris Rohlf، Luna Tong