ثغرة حرجة: باب خلفي مزروع في أجهزة D-Link DIR-600L عبر Telnet

◎مقدمة: ثغرة خطيرة في أجهزة راوتر منتشرة في السوق السعودي

كشفت الأبحاث الأمنية الحديثة عن ثغرة أمنية بالغة الخطورة مُصنّفة تحت المعرّف CVE-2026-42374 بدرجة خطورة 9.8 من 10 (حرجة) وفق مقياس CVSS v3.1، تستهدف أجهزة التوجيه (الراوتر) من طراز D-Link DIR-600L Hardware Revision B1. تتمثل الثغرة في وجود باب خلفي (Backdoor) مزروع بشكل متعمد في البرنامج الثابت (Firmware) للجهاز، يسمح لأي مهاجم على الشبكة المحلية بالحصول على صلاحيات الجذر (Root) كاملة دون الحاجة إلى أي مصادقة مشروعة.

الأخطر من ذلك أن هذه الأجهزة قد وصلت إلى نهاية دورة حياتها (End-of-Life)، مما يعني أن الشركة المصنّعة لن تُصدر أي تحديثات أمنية لإصلاح هذه الثغرة، مما يُحتّم على مدراء الأنظمة ومسؤولي الاستضافة في المملكة العربية السعودية ودول الخليج اتخاذ إجراءات فورية وصارمة.

◎التفاصيل التقنية للثغرة

تعمل ثغرة CVE-2026-42374 على استغلال وجود بيانات اعتماد مُدمجة بشكل صريح (Hardcoded Credentials) في البرنامج الثابت للجهاز، وهو ما يُصنّف ضمن تصنيف CWE-798: Use of Hard-coded Credentials. عند إقلاع الجهاز، يتم تشغيل خدمة Telnet تلقائيًا عبر السكربت /bin/telnetd.sh باستخدام بيانات الاعتماد التالية:

• اسم المستخدم: Alphanetworks
• كلمة المرور الثابتة: wrgn61_dlwbr_dir600L

يتم تخزين كلمة المرور في الملف /etc/alpha_config/image_sign، ويتم قراءتها من قِبَل النسخة المُعدّلة من خدمة telnetd التي تقبل المُعامل -u user:password. كما أن ملف login المُعدّل يستخدم دالة strcmp() البسيطة للتحقق من صحة بيانات الاعتماد، دون أي طبقة حماية إضافية مثل التجزئة (Hashing) أو التحقق متعدد العوامل.

سيناريو الاستغلال

يمكن للمهاجم المتواجد على الشبكة المحلية (سواء شبكة Wi-Fi أو شبكة سلكية متصلة بالجهاز) تنفيذ الخطوات التالية للسيطرة الكاملة على الراوتر:

1. فحص الشبكة المحلية للكشف عن الأجهزة التي تُشغّل خدمة Telnet على المنفذ 23.
2. الاتصال بالجهاز عبر Telnet باستخدام الأمر: telnet [عنوان IP الجهاز]
3. إدخال اسم المستخدم Alphanetworks وكلمة المرور wrgn61_dlwbr_dir600L.
4. الحصول الفوري على صدفة جذر (Root Shell) بصلاحيات إدارية كاملة.

◎الأنظمة المتأثرة

تؤثر هذه الثغرة بشكل مباشر على:

• D-Link DIR-600L Hardware Revision B1 (جميع إصدارات البرامج الثابتة)
• الأجهزة التي وصلت إلى مرحلة نهاية الدعم الفني (EOL)
• جميع الشبكات المنزلية والمكتبية الصغيرة التي تستخدم هذا الطراز

تجدر الإشارة إلى أن أجهزة D-Link DIR-600L منتشرة بشكل واسع في السوق السعودي والخليجي، وقد تم توزيعها عبر عدد من متاجر الإلكترونيات ومزودي خدمة الإنترنت خلال السنوات الماضية، مما يجعل المخاطر مضاعفة في البيئات السكنية والمكاتب الصغيرة والمتوسطة (SMB).

◎تأثير الثغرة وخطورتها

نظرًا لأن المهاجم يحصل على صلاحيات الجذر الكاملة، فإنه يستطيع تنفيذ مجموعة من الهجمات الخطيرة، منها:

• اعتراض حركة المرور (Traffic Interception): التجسس على جميع البيانات المارة عبر الراوتر بما فيها كلمات المرور والمعلومات البنكية.
• هجمات Man-in-the-Middle: تعديل محتوى الصفحات أو إعادة توجيه المستخدمين إلى مواقع تصيد احتيالي.
• خطف DNS: تغيير إعدادات DNS لإعادة توجيه حركة المرور إلى خوادم خبيثة.
• استخدام الجهاز كنقطة انطلاق: لشن هجمات على أجهزة داخلية أخرى ضمن الشبكة.
• تجنيد الجهاز ضمن شبكات بوت نت (Botnets): مثل شبكة Mirai المعروفة بمهاجمة أجهزة IoT.
• تركيب برامج خبيثة دائمة (Persistent Malware): يصعب اكتشافها وإزالتها.

◎السياق المحلي: أهمية الإجراء السريع في المملكة

في ضوء التوجهات الرقمية لرؤية المملكة 2030 ومساعي هيئة الاتصالات والفضاء والتقنية (CST) (سابقًا CITC) لتعزيز الأمن السيبراني، تأتي هذه الثغرة لتُذكّرنا بأهمية تأمين البنية التحتية الشبكية حتى على مستوى الأجهزة الاستهلاكية. كما تتماشى متطلبات الهيئة الوطنية للأمن السيبراني (NCA) مع ضرورة استبدال الأجهزة التي وصلت لنهاية دورة حياتها، وفقًا للضوابط الأساسية للأمن السيبراني ECC-1:2018 والضوابط الخاصة بالأنظمة الحساسة CSCC-1:2019.

كما أن مزودي الاستضافة المحليين ومراكز البيانات في المملكة مثل تلك المتواجدة في الرياض وجدة والدمام، يجب أن يُنبّهوا عملاءهم من مخاطر استخدام أجهزة شبكية منتهية الدعم في بيئات العمل، خاصة تلك المتصلة بأنظمة الإدارة عن بُعد أو VPN للوصول إلى خوادم الإنتاج.

◎خطوات الحماية الموصى بها لمدراء الأنظمة السعوديين

أولًا: الإجراءات الفورية (خلال 24 ساعة)

1. فصل الجهاز فورًا عن الإنترنت إذا كان يُستخدم في بيئة حساسة.
2. تعطيل خدمة Telnet من واجهة إدارة الجهاز إن أمكن (رغم أن الباب الخلفي قد يبقى فعّالًا).
3. عزل الجهاز شبكيًا عبر وضعه في شبكة VLAN منفصلة عن الأنظمة الحساسة.
4. فحص الجهاز باستخدام أدوات مثل nmap للتأكد من حالة المنفذ 23:
   nmap -p 23 [عنوان IP]

ثانيًا: الإجراءات قصيرة المدى (خلال أسبوع)

• استبدال الجهاز كليًا بأجهزة حديثة مدعومة من الشركة المصنّعة.
• اختيار أجهزة تدعم WPA3 وتحديثات OTA تلقائية.
• تفعيل التسجيل الأمني (Security Logging) ومراقبة المحاولات المشبوهة.
• مراجعة جميع إعدادات إعادة توجيه المنافذ (Port Forwarding) للتأكد من عدم تعريض Telnet للإنترنت.

ثالثًا: الإجراءات طويلة المدى

• إنشاء سياسة إدارة دورة حياة الأجهزة (Hardware Lifecycle Management) تحدد متى يجب استبدال الأجهزة.
• تطبيق مبدأ الثقة الصفرية (Zero Trust) حتى داخل الشبكة المحلية.
• إجراء تقييمات أمنية دورية للبنية التحتية الشبكية كل 6 أشهر.
• الاشتراك في تنبيهات الثغرات من المركز الوطني الإرشادي للأمن السيبراني.

◎كيفية اكتشاف ما إذا كان جهازك مُخترقًا

لمعرفة ما إذا كان الجهاز قد تعرّض للاختراق بالفعل، يُنصح بالتحقق من المؤشرات التالية:

• بطء غير مبرر في الشبكة أو حركة مرور مشبوهة.
• تغيير إعدادات DNS دون تدخل المسؤول.
• ظهور مستخدمين جدد في قائمة الأجهزة المتصلة.
• تعديلات على قواعد جدار الحماية (Firewall Rules).
• تواصل الجهاز مع عناوين IP غير معروفة خارجيًا (يمكن رصدها عبر أدوات مراقبة الشبكة).

◎توصيات 4Jawaly لحماية الأعمال السعودية

نظرًا لطبيعة التهديد وانتشار الأجهزة المتأثرة، توصي فورجوالي (4Jawaly) – الشركة السعودية الحاصلة على ترخيص هيئة الاتصالات (291-10-32) وشهادة ISO 27001 – بما يلي:

• دمج خدمات SMS للتنبيهات الأمنية لإعلام مسؤولي الأنظمة فورًا عند اكتشاف نشاط شبكي مشبوه.
• استخدام روبوتات المحادثة الذكية (AI Chatbots) لتوعية الموظفين بأساسيات الأمن السيبراني.
• الاعتماد على خدمات الاستضافة السحابية الآمنة في مراكز البيانات المحلية بدلًا من الاعتماد على بنية شبكية منزلية ضعيفة.
• تطبيق المصادقة الثنائية (2FA) عبر OTP SMS لجميع أنظمة الإدارة عن بُعد.

◎خاتمة

تُمثّل ثغرة CVE-2026-42374 تذكيرًا صارخًا بأن الأجهزة منتهية الدعم تُشكّل خطرًا مُضاعفًا على المؤسسات والأفراد في المملكة العربية السعودية ومنطقة الخليج. الاستخفاف بهذه المخاطر قد يؤدي إلى خسائر مادية ومعلوماتية جسيمة، خاصة في ظل تصاعد الهجمات السيبرانية الموجّهة للمنطقة. الحل الأمثل هو الاستبدال الفوري لهذه الأجهزة مع اعتماد ممارسات الأمن السيبراني الحديثة التي تتوافق مع الضوابط الوطنية والمعايير الدولية.