نشر باحثون أمنيون شيفرة استغلال كاملة وقابلة للعمل لثغرة تنفيذ شيفرة عن بُعد قبل المصادقة في نسخة لينكس من برنامج AnyDesk للتحكم عن بُعد، وهي ثغرة تمنح المهاجمين صلاحيات الجذر قبل أن يوافق أي شخص على الاتصال. وتكشف هذه الحادثة عن فجوة مقلقة في كيفية تعامل الموردين مع الثغرات الأمنية الحرجة، إذ جرى ترقيع العيب في يونيو دون تخصيص معرف CVE أو إصدار تنبيه أمني رسمي.
اكتشاف الثغرة وترقيعها بصمت
عالجت شركة AnyDesk الثغرة في الإصدار 8.0.3 خلال شهر يونيو، لكن سجل التغييرات اكتفى بوصف الإصلاح بعبارة “إصلاح خطأ قد يؤدي إلى انهيار”، دون تعيين معرف CVE أو نشر أي تنبيه أمني. ويعد هذا الأسلوب في التعامل مع الثغرات موضع انتقاد واسع في أوساط الأمن السيبراني، لأنه يحرم المسؤولين عن الأنظمة من المعلومات اللازمة لتقييم مخاطر التعرض واتخاذ قرارات مستنيرة بشأن الترقيع العاجل.
ويستهدف الاستغلال، الذي أُطلق عليه اسم “AnyPwn”، ثغرة تجاوز سعة المخزن المؤقت في الذاكرة المكدسة (heap buffer overflow) ضمن بروتوكول الجلسة الخاص بـ AnyDesk. وقد نُشرت الشيفرة على منصة غيت هاب في الثامن من أكتوبر 2026، مما يعني أن الثغرة أصبحت متاحة علناً لأي مهاجم يمتلك الحد الأدنى من المهارات التقنية لاستغلالها.
كيف تعمل الثغرة تقنياً؟
يعتمد بروتوكول جلسة AnyDesk على حزم دفق من النمط الخامس (mode-5 stream packets). ويقوم المعالج بحساب حجم التخصيص الخلفي عبر إضافة ترويسة بحجم 16 بايت إلى طول الحمولة المعلن، مستخدماً حسابات رياضية ذات 32 بت دون أي فحص للتجاوز الحسابي. وهنا تكمن نقطة الضعف الجوهرية.
يعلن الاستغلال عن طول حمولة بقيمة 0xFFFFFFF0. وعند إضافة 0x10، ينقلب الناتج في حسابات 32 بت إلى الصفر، فيقوم المخصص بحجز مخزن مؤقت صغير جداً بينما يسجل الكائن الطول الأصلي الكبير. وبعد ذلك، تكفي بايت واحدة من بيانات المهاجم للكتابة خارج حدود التخصيص المحجوز. ويؤدي هذا التجاوز إلى إفساد الحقول في كائنات الذاكرة المكدسة المجاورة، ويستخدم الاستغلال سلسلة ROP لتنفيذ أمر عشوائي بصلاحيات الجذر.
قيود الاستغلال وطبيعته الاحتمالية
يعمل الاستغلال المنشور فقط عبر اتصالات TCP المباشرة على المنفذ 7070. وهو استغلال احتمالي بطبيعته، إذ يجب أن يضع تخطيط الذاكرة المكدسة كائناً مستهدفاً ملاصقاً للمخزن المؤقت المتجاوز، وإلا فستنهار الخدمة بدلاً من تنفيذ أمر المهاجم. كما أن الإزاحات في الشيفرة المنشورة تستهدف بناءً محدداً من AnyDesk Linux هو الإصدار 8.0.2، بينما تتطلب الإصدارات الأخرى قيماً مختلفة.
ويقول الباحثون إن مسار الشيفرة المصاب نفسه يمكن الوصول إليه أيضاً عبر خوادم الترحيل (relay servers) التي يستخدمها البرنامج عندما يتعذر الاتصال المباشر. وقد تحققوا من ذلك باستخدام أداة رصد Frida، لكنهم لم يقدموا سلسلة استغلال كاملة عبر خوادم الترحيل. ويبقى هذا الجانب محل خلاف تقني بين المورد والباحثين، إذ أكدت AnyDesk في يونيو أن الثغرة “تقتصر على الاتصالات المباشرة على لينكس، أي الاتصالات التي لا تمر عبر خوادم الترحيل، وأن نظامي ويندوز وماك أو إس غير متأثرين”.
الجدول الزمني للكشف والاستجابة
أعلن الباحثون عن الثغرة في 22 يونيو 2026، واعترفت AnyDesk بها في اليوم التالي وأصدرت الإصدار 8.0.3 متضمناً الإصلاح. ورغم ذلك، لم يُخصص أي معرف CVE للثغرة حتى التاسع من أكتوبر 2026، ولم تصدر الشركة أي تنبيه أمني رسمي. بل إن صفحة التنزيل الخاصة بالشركة لم تعد تدرج الإصدار 8.0.2، على الرغم من أنه لا يزال يظهر في سجل التغييرات، وهو ما دفع الباحثين إلى القول إن المورد “يبدو أنه حذف بناء الإصدار 8.0.2 من AnyDesk فور إصدار فيديو إثبات المفهوم الخاص بنا”.
توصيات للمسؤولين عن الأنظمة
ينصح المسؤولون عن الأنظمة بتحديث AnyDesk Linux إلى الإصدار 8.0.3 على الأقل، علماً أن أحدث إصدار متاح حالياً هو 8.1.0. ولمن لا يستطيع التحديث الفوري، يمكن تقليل التعرض للخطر عبر تقييد الوصول إلى منفذ TCP رقم 7070. ويبقى السؤال حول ما إذا كانت الثغرة قابلة للاستغلال الكامل عبر اتصالات الترحيل دون إجابة قاطعة حتى الآن، وهو ما يضيف طبقة أخرى من عدم اليقين إلى تقييم المخاطر.
سياق أوسع من الثغرات والحوادث السابقة
اكتشف الثغرة ريك دي ياغر من فريق V12 الأمني باستخدام محرك مراجعة الشيفرة الأمني V12. ويعد مؤسسو V12 هم أنفسهم من بنوا شركة Zellic الأمنية وقادوا فريق الاختراق التنافسي Perfect Blue، مما يضيف مصداقية تقنية كبيرة إلى الاكتشاف.
وتجدر الإشارة إلى أن ثغرة تجاوز سعة المخزن المؤقت في الذاكرة المكدسة مختلفة، تحمل المعرف CVE-2025-27918، جرى إصلاحها في الإصدار 7.0.0 خلال أبريل 2025. وقد أثرت تلك الثغرة على جميع منصات AnyDesk وتضمنت تجاوزاً حسابياً في معالجة صور المستخدم، وهو آلية مختلفة عن ثغرة بروتوكول الجلسة الخاصة بـ AnyPwn. كما تعرضت AnyDesk لعملية اختراق في أوائل 2024 استهدفت أنظمة الإنتاج الخاصة بالشركة، ما أدى إلى إبطال الشهادات وفرض إعادة تعيين كلمات المرور، وهو ما يضع هذه الحادثة الجديدة في سياق تاريخي من التحديات الأمنية المتكررة التي تواجه الشركة والمستخدمين على حد سواء.
