أصدرت شركة Copeland الأميركية تحديثًا للبرمجيات الثابتة (firmware) يَصلح عشر ثغرات أمنية حرجة استُكشفت في متحكّمات Copeland E2 وE3، المعتمدة في أنظمة كفاءة الطاقة للتبريد والتكييف (HVAC/Refrigeration). أطلقت شركات الأمن اسم Frostbyte10 على الحزمة المجمعة من هذه الثغرات، التي قد تُمكّن المهاجم من التحكم بوسائل التبريد، تعطيل الأنظمة، تنفيذ أوامر عن بُعد، أو الوصول إلى بيانات تشغيلية حساسة، بحسب شركة Armis الأمنية.
أبعاد الخطر وسيناريو الهجوم المركب
تُعد أخطر الثغرات ضمن الحزمة هي CVE-2025-6519، المتعلقة بحساب مشرف افتراضي باسم “ONEDAY” يستخدم كلمة مرور تتولّد يوميًا بطريقة يمكن التنبؤ بها. هذا الخلل التسلسلي في آلية المصادقة يتيح للمهاجمين التعرّف على كلمة المرور الفعلية في يوم محدد واستغلالها للولوج إلى واجهة الإدارة.
في سيناريو هجومي افتراضي، يمكن ربط CVE-2025-6519 مع ثغرتين أخريين (CVE-2025-52549 و CVE-2025-52548) لفتح قنوات مثل SSH وShellinabox عبر نداء API مخفي داخل الجهاز، ما يمكّن المهاجم من تنفيذ أوامر عشوائية على نظام التشغيل الأساسي (unauthenticated remote code execution) بصلاحيّات الجذر (root) عند نجاح السلسلة الهجومية.
وفقًا للتحليل، فإن استغلال الثغرات مجتمعة قد يؤدي إلى اختراقات أوسع تشمل السيطرة على بنية التحكم في التبريد، تعطيل سلسلة التبريد الصناعي، أو التسريب/التعديل في بيانات تشغيل حرجة، وهو ما يرفع من خطورة تهديدات سلاسل الإمداد والطاقة في البيئات الصناعية والتجارية.
خلفية تقنية وأهمية التصحيح الفوري
متحكّمات E2/E3 تُستخدم على نطاق واسع في أنظمة المباني، المصانع، والمستودعات ذات الاعتماد الحساس على ظروف الحرارة والرطوبة. أي استغلال يتيح تنفيذ أوامر على مستوى النظام قد يترجم إلى توقف عمليات حيوية أو إلى تلف منتجات (مثل الأغذية والأدوية) وتعريض السلامة التشغيلية للخطر.
أشارت Armis إلى إمكانية تنفيذ سيناريوهات “بدون مصادقة” (unauthenticated) عند الجمع بين الثغرات، ما يجعل الاعتماد على آلية مصادقة ضعيفة (مثل الحساب الافتراضي ONEDAY) مشكلة جوهرية. لذلك تُعد خطوة Copeland في إصدار firmware مُحدّث أمرًا حيويًا يجب اعتماده فورًا.
توجيهات عملية وفنية للمنظمات والمشغلين
لخفض المخاطر والتعامل مع هذه الحوادث ننصح بالخطوات التالية العملية والفنية:
-
تطبيق تحديثات Copeland فورًا: نشر تحديثات firmware المُعلنة عبر قنوات Copeland الرسمية، والتحقق من رقم الإصدار على كل جهاز.
-
إبطال الحسابات الافتراضية: تغيير أو تعطيل أي حسابات افتراضية مثل “ONEDAY”، وإجبار استخدام كلمات مرور قوية وفريدة، أو إيقاف الوصول الإداري المتاح افتراضيًا.
-
تقسيم الشبكة وفرض مبدأ الأقل امتيازًا: فصل شبكات التحكم (OT/ICS) عن الشبكات الإدارية والمكتب، استخدام جدران حماية وسياسات وصول صارمة لمنع الوصول المباشر من الإنترنت إلى متحكمات E2/E3.
-
تعطيل خدمات الإدارة غير الضرورية: إيقاف SSH وShellinabox وواجهات الويب الإدارية إذا لم تكن مطلوبة، أو تقييدها بعناوين IP المسموح بها وشهادات قوية.
-
مراجعة واجهات API المخفية: العمل مع المورد (Copeland) لفحص وجود أي واجهات أو نقاط وصول غير موثقة أو مخفية (hidden API) وإغلاقها أو وضعها خلف طبقات تحقق إضافية.
-
مراقبة السجلات والاتصالات الشبكية: تفعيل المراقبة على مستوى الشبكة لاكتشاف اتصالات مشبوهة أو محاولات الوصول غير المصرح به، وحفظ سجلات الوصول للتمكن من التحليل الجنائي عند الحاجة.
-
إجراء مسح سريع للأجهزة: عمل جرد (inventory) فوري لجميع وحدات E2/E3، وتقييم أي أجهزة غير مُحدّثة أو معرّضة ثم جدولة تطبيق التحديثات خارج أوقات الذروة التشغيلية إن أمكن.
-
اختبار الاستجابة وخطة الاسترجاع: تحضير سيناريو استجابة للحوادث (IR playbook) يشمل خطوات عزل الأجهزة المصابة، استعادة الإعدادات من نسخ احتياطية موثوقة، وإجراءات التعافي لتقليل زمن التوقف.
-
التواصل مع البائع ومتابعة الإشعارات: الاشتراك في نشرة Copeland الأمنية والتواصل مع فريق الدعم الفني للحصول على إرشادات تنفيذية خاصة بالنماذج والمجموعات البرمجية لديك.
