تُؤكّد N-able أن مهاجمي N-central وصلوا إلى نقاط النهاية المُدارة

في 31 يوليو 2026، رصدت خدمة Adlumin للكشف والاستجابة المُدارتين التابعة لـ N-able نشاطًا غير معتاد داخل بيئة أحد العملاء، ووجدت جهة تهديد تستغل ثغرة في N-central لم يكن المورّد قد كشف عنها بعد. N-central هي منصة المراقبة والإدارة عن بُعد التي يستخدمها مقدّمو الخدمات المُدارة لإدارة أنظمة عملائهم، لذا ما كان بيد المخترقين ليس جهازًا واحدًا بل وحدة التحكم التي تقف أمام العديد منها. الثغرة، التي سُجّلت لاحقًا باسم CVE-2026-18577، أتاحت وصولًا إداريًا عن بُعد دون مصادقة؛ ثم استخدم المهاجم ميزة Take Control الخاصة بـ N-central نفسها لفتح جلسات على نقاط النهاية المُدارة، وسجّل خدمات نفق Cloudflare على تلك الأجهزة، حتى يبقى الوصول صالحًا بعد فقدان حساب N-central. تقول N-able إنه «تم تحديد عدد محدود من العملاء باعتبارهم متأثرين» ولم تذكر عددهم، ولا إلى أي مدى وصل المهاجمون. بُني هذا المقال من سجل واحد في the Orca AI Incident Archive، والذي يُدرجه إلى جانب الحوادث الأخرى الموثقة في سلسلة التوريد الخاصة بـ RMM وMSP التي يتتبعها.

لا يكاد يوجد شيء محلّ خلاف بين المصادر التي تصف هذه الرواية. فالتحديث الأمني الذي أصدرته N-able بنفسها، وسجلات NVD الخاصة بمعرّفي CVE، وتحقيق Huntress الذي نُشر في غضون أيام من الكشف، والتغطية التي نشرتها The Register في 7 أغسطس وThe Hacker News في 8 أغسطس، جميعها تصف التسلسل نفسه: دخول غير مُصادَق عليه إلى N-central، واستُخدم Take Control محورًا، وسُجّلت أنفاق Cloudflare على نقاط النهاية بغرض الاستمرارية. ويؤرّخ الأرشيف الحادثة في 31 يوليو 2026 بدقة اليوم، أي ذلك اليوم الواحد — اليوم الذي رُفع فيه تنبيه كشف Adlumin — وليس نطاقًا زمنيًا. وهناك تفصيل واحد يتعلق بالمصادر يجدر ذكره: منشور N-able الموحّد مؤرّخ في 10 أغسطس 2026، والرابط الذي يستشهد به الأرشيف، والذي ينتهي بـ "august-2-2026"، بات يحوّل الآن إلى ذلك التحديث اللاحق، لذا لا يمكن استرداد نص 2 أغسطس كما نُشر أصلًا من ذلك الرابط.

كان الخلل في التجاوز الثاني، لا الأول.

كان قد تم تجاوز N-central مرة واحدة بالفعل في ذلك الصيف. أثّرت CVE-2026-18556، المصنّفة على أنها تجاوز للمصادقة باستخدام مسار أو قناة بديلة، على N-central حتى الإصدار 2026.1 وتم إصلاحها في 2026.2. يصف سجل NVD الخاص بـ CVE-2026-18577 الثغرة في جملة واحدة بأنها «تصحيح غير مكتمل لـ CVE-2026-18556» وأنها «تتيح تجاوز المصادقة والاستيلاء على الحساب في إصدارات N-central حتى 2026.3.1». بعبارة أخرى، كانت المؤسسات التي طبّقت إصلاح 2026.2 بالفعل لا تزال معرّضة، ولهذا تبعت ثغرة ثانية وإصلاح عاجل ثانٍ خلال أسبوع من الأول.

يحمل السجلان فئة الضعف نفسها، CWE-288. ولا تتوافق الدرجات فيما بين جهات التقييم، وذلك خاصية من خصائص التقييم لا تناقض: يسجّل NVD درجة أساسية CVSS 4.0 قدرها 8.2 لـ CVE-2026-18577، بينما يضعها تقييم NIST وفق CVSS 3.1 عند 8.1. وبالنسبة إلى CVE-2026-18556 فالدرجتان هما 8.2 و7.4. ويُقرأ متجه CVSS 4.0 الخاص بـ 2026-18577 على النحو AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N مع الدرجات الفرعية SC:L/SI:L/SA:L — السرية عالية، والنزاهة والتوافر لا شيء. وهذا وصف للتجاوز نفسه، لا لما يفعله المهاجم بعد عبوره، وهو دليل ضعيف على الضرر الذي يمكن أن تسببه وحدة تحكم إدارية مخترقة.

إصدار الإصلاح الخاص بـ CVE-2026-18577 مذكور على أنه جميع البنيات السابقة لـ 2026.3.1.7، وهي صياغة استُخدمت في استشارة Beazley Security بشأن العيب؛ أما منشور N-able نفسه فيذكر فقط بنيات الإصلاح السريع ولا ينشر أي مصفوفة للإصدارات المتأثرة.

ما فعله المتسللون بوحدة تحكم الإدارة

Take Control هي أداة الدعم عن بُعد الخاصة بـ N-central، وقد وُفِّرت لتتيح لفني MSP فتح جلسة على سطح مكتب مستخدم نهائي دون مطالبة ذلك المستخدم بتثبيت أي شيء. استخدمها المهاجمون بالطريقة نفسها التي يستخدمها بها الفني. وكما أفاد The Register، فقد وصفت Huntress هذا الوصول بأنه "المستوى نفسه من الوصول إلى N-central الذي يُخصص عادةً لموظفي عمليات الشبكة والهندسة الموثوقين" — وهو كافٍ لفتح جلسات عن بُعد ودفع سكربتات إلى أنظمة العملاء، وكما وصف ملخص CISO Intelligence الصادر في 3 أغسطس هذه القدرة، لفتح جلسات إلى وحدات التحكم بالمجال. ولا يذكر أي مصدر أيًّا من تلك القدرات التي استخدمها المهاجمون فعليًا.

خطوة الاستمرارية هي الجزء الذي بقي أطول من الحادثة نفسها. فالمهاجم الذي يسجّل نفق Cloudflare كخدمة Windows على نقطة طرفية يحصل على قناة صادرة فقط لا تحتاج إلى قاعدة جدار حماية واردة، وتُعاد بعد إعادة التشغيل، وتظل تعمل بعد إبطال حساب N-central الذي استُخدم لزرعه. تُدرج نشرة التحديث من N-able اسم الخدمة الذي ينبغي البحث عنه، Cloudflared، إلى جانب نسخة من svchost.exe موضوعة في مجلد Documents الخاص بمستخدم، وجلسات Take Control غير طبيعية في سجلات المنتج نفسه. وتضيف النشرة الأمنية من Beazley Security الحساب المدمج mspsupport@n-able.com كعلامة يجب البحث عنها. كما حذّرت N-able من أن المهاجمين كانوا ينشئون حسابات جديدة ويعيدون ضبط الحسابات الموجودة للتشبث، وذكرت النتيجة بصراحة: إن تطبيق التصحيح "لا يزيل جهة تهديد قد تكون موجودة بالفعل في بيئتك".

إلى أي مدى وصل الأمر: تسع منظمات، ومورّد لن يُحتسب

الرقم الوحيد الذي نشرته أي جهة عن مدى وصول الاختراق جاء من Huntress، لا من N-able. ففي بيئة شريك مخترقة واحدة، وجدت Huntress أن المهاجمين وصلوا إلى تسع مؤسسات في المصب، ووصلوا إلى نقطة نهاية واحدة في كل منها، واقتصروا إلى حد كبير على تعداد العمليات قبل قطع الاتصال. وهذا حد أدنى مرصود في حالة واحدة، وليس إجمالاً: فقد امتنعت N-able عن القول كم عدد العملاء المتأثرين، أو كم عدد الأنظمة في المصب التي جرى الوصول إليها، أو ما فعله المهاجمون بعد تثبيت الاستمرارية. وقد أوردت The Register ذلك الرفض صراحةً. وقدّر ملخص CISO Intelligence يوم 3 أغسطس نسبة خوادم N-central السحابية القابلة للوصول التابعة لشركاء Huntress التي لا تزال غير مصححة في ذلك التاريخ بأكثر من 55 في المئة.

ما هي صلة الذكاء الاصطناعي في الواقع

يسجّل الأرشيف مشاركة الذكاء الاصطناعي في هذا الحادث باعتبارها مؤكَّدة، والمكان الذي ينبغي البحث فيه عنها هو الكشف، لا الهجوم. وتُسوّق شركة N-able خدمة Adlumin بوصفها «SecOps مدعومة بالذكاء الاصطناعي ويقودها البشر»، مع «ذكاء اصطناعي تكيّفي» «يتعلّم بيئتك باستمرار» ويرصد الشذوذات السلوكية؛ وفي مؤتمر RSAC 2026 في مارس، أعلنت الشركة عن ثلاث عمليات كشف مدفوعة بالذكاء الاصطناعي داخل Adlumin MDR — كشف PowerShell الشاذ، وتنبيه تعطّل DNS مدفوع بتعلّم الآلة، ونموذج تنفيذ عملية قائم على حدث واحد يقيّم العملية بناءً على اسمها ومسارها وسلسلة آبائها. وخدمة MDR من Adlumin هي ما كشف الاختراق في 31 يوليو.

ما هو ثابت يتوقف عند هذا الحد. لا يذكر أي مصدر جرى الاطلاع عليه لهذه المقالة ما إذا كان نموذج ذكاء اصطناعي أو محلل بشري هو من أطلق التنبيه المحدد الذي بدأ الاستجابة، ولا تنسب N-able الاكتشاف إلى أي محرك مسمّى. وما لا يقل وضوحًا هو أنه لا يظهر أي نظام ذكاء اصطناعي في الجانب الآخر: فلا رواية N-able، ولا نتائج Huntress كما وردت، ولا تغطية The Register أو The Hacker News تصف نموذجًا أو وكيلًا أو أداة ذكاء اصطناعي في أي موضع من سلسلة الاختراق. وإذا قُرئ هذا السجل قراءة مباشرة، فإنه ينتمي إلى أرشيف حوادث الذكاء الاصطناعي لأن منصة أمنية مدعومة بالذكاء الاصطناعي كانت أداة الاكتشاف، لا لأن الذكاء الاصطناعي سبّب الاختراق أو نفّذه. وهذا التمييز هو أكثر ما يمكن أن يقدّمه وسم الأرشيف من فائدة للقارئ هنا.

ما الذي تغيّر، وما الذي لا يزال N-able يرفض قوله

أصدرت N-able الإصلاح العاجل 1، الإصدار 2026.3.1.7، في 2 أغسطس وعالجت بيئاتها المستضافة مركزياً؛ أما عملاء البيئات المحلية فقد اضطروا إلى تثبيته بأنفسهم. وفي 6 أغسطس، كشفت المراقبة المستمرة عن مسار هجوم ذي صلة، فأصدرت الشركة الإصلاح العاجل 2، الإصدار 2026.3.1.10، الذي تقول إنه يحل محل الأول «بإجراءات تحصين إضافية» وإنه مطلوب حتى للعملاء الذين طبّقوا الإصلاح العاجل 1 بالفعل. وأضافت CISA الثغرة CVE-2026-18577 إلى كتالوج الثغرات المعروفة المستغلة لديها في 3 أغسطس بموعد نهائي فيدرالي للمعالجة هو 6 أغسطس، والثغرة CVE-2026-18556 في 4 أغسطس بموعد نهائي هو 7 أغسطس — أي نافذة مدتها ثلاثة أيام في كلتا الحالتين، وصفها The Register بأنها موعد نهائي قصير على نحو غير معتاد ومخصص للمخاطر العاجلة. وكانت الإرشادات المرافقة للإصلاحات تشغيلية لا تقنية: فرض المصادقة متعددة العوامل، وتعطيل حساب الدعم المدمج في المنتج ما لم تكن هناك تذكرة تتطلبه، وتدقيق الحسابات والصلاحيات بحثاً عن عمليات الإنشاء وإعادة التعيين، وتشغيل قالب خدمة فحص المؤشرات الخاص بالبائع — مع التعامل مع الفحص النظيف باعتباره لا يقدم أي دليل على الإطلاق. وكتبت N-able: «لا ينبغي تفسير النتيجة النظيفة على أنها ضمان بأن بيئتك لم تتأثر».

ما لم تنشره N-able هو السبب الجذري. وتقول إنها تحجب التفاصيل التقنية عمدًا ما دامت الجهات الفاعلة نشطة — "سيصدر تحليل كامل للسبب الجذري، وسنشاركه بمجرد أن يصبح القيام بذلك آمنًا" — وإنها "لا تعتبر هذا الأمر مغلقًا" حتى تتيقن. ويترك ذلك التجاوز الثاني موصوفًا بأثره فقط، كمسار بديل يلتف حول فحص المصادقة نفسه الذي كان إصلاح 2026.2 يهدف إلى إغلاقه.

ما الذي لا يزال مفتوحًا؟

الإسناد غير معروف، ولن توفّره مؤشرات المورّد الخاصة. أفادت CISO Intelligence بأن عدة عناوين IP نشرتها N-able كانت عُقد خروج لـ Mullvad وNordVPN، وأن عنوانين إضافيين أُضيفا إلى القائمة لاحقًا — وهي خيوط تحقيق لا إسناد، كما تلاحظ الخلاصة نفسها. وثقة N-able هنا ليست كوثقة الأرشيف: يحمل السجل الثقة A لأن المصادر الأولية تتفق مع بعضها بعضًا، وهذا بيان عن التوثيق، لا عن أن أي جهة تحققت من الاختراق بشكل مستقل من البداية إلى النهاية.

ما يدعمه السجل أضيق وأكثر ديمومة من عنوان رئيسي عن اختراق. فقد جرى استغلال تجاوز ثانٍ للمصادقة في منصة يستخدمها مقدّمو الخدمات المُدارة (MSPs) لإدارة كامل أصول العملاء، في البرية، وظل مفتوحًا لمدة ستة أيام على الأقل بين الاكتشاف الأول في 31 يوليو والإصلاح العاجل الثاني في 6 أغسطس. وقد بنى المهاجمون طريقًا للعودة إلى نقاط النهاية لا يغلقه ترقيع N-central — ولهذا كانت نصيحة المورّد نفسه لكل من رقّع متأخرًا هي التعامل مع البيئة باعتبارها مخترقة والبدء بتدقيق الحسابات بدلًا من الثقة في فحص نظيف.