قبل Payment Agent من IBM عمليات كتابة Runbook غير مُصادَق عليها — CVE-2026-18875

أفصحت IBM عن ثغرة في خادم وكيل الذكاء الاصطناعي الخاص بمنصة المدفوعات لديها، IBM Financial Transaction Manager: إذ كان بإمكان متصل لا يملك أي بيانات اعتماد أن يكتب دليل تشغيل من اختياره في قاعدة البيانات المتجهة التي يسترجع منها الوكيل، ثم يمكن توجيه استدعاءات أدوات بروتوكول سياق النموذج (Model Context Protocol) الخاصة بالوكيل نفسه بناءً على ما قرأه. وتقول النشرة الأمنية لـ IBM، المنشورة في 21 سبتمبر 2026، إن الثغرة قد تؤدي إلى "إجراءات دفع غير مصرح بها أو تسريب بيانات الدفع." الثغرة، CVE-2026-18875، نُشرت في 23 سبتمبر 2026 بدرجة أساس CVSS 3.1 تبلغ 7.3، ومرتبطة بـ CWE-74، وتقع عند api.vectordb.runbooks.js:51. لم يُسجَّل أي استغلال في البرية، ولم يُعزَ إليها أي فقدان يخص العملاء أو المدفوعات أو البيانات. هذا السرد مستمد من إدخال واحد في أرشيف حوادث Orca AI، الذي يسجل CVE-2026-18875 كثغرة متوسطة الخطورة دون تسجيل أي ضرر، ويضعها إلى جانب حوادث الوكيل الموثقة الأخرى.

ثغرة CVE واحدة ضمن نشرة تضم سبعًا وأربعين ثغرة CVE

الإشعار الاستشاري الصادر عن IBM بشأن هذا العيب ليس إشعارًا مستقلًا. وهو مُدخل واحد في نشرة الأمان: يتأثر IBM Financial Transaction Manager (FTM) بثغرات متعددة، المستند UID ibm17288641، الذي تغطي جداول المنتجات المتأثرة والمعالجة فيه كل CVE في الدفعة. تحتوي الصفحة على 47 معرّف CVE مميزًا، مصنّفة من قِبل IBM بدرجات تتراوح من 3.7 إلى 9.9، ويضم سجل التغييرات الخاص بها سطرًا واحدًا فقط: 21 سبتمبر 2026: النشر الأولي. لم تُراجَع النشرة بعد ظهورها، وقسم الإقرار فيها فارغ — لا تنسب IBM الفضل إلى أي باحث أو مُبلّغ أو عميل عن أي من النتائج الـ47.

يُعدّ بند RAG الشاذّ في تلك القائمة. تبدو معظم أوصاف CVE المجاورة وكأنها إجراءات نظافة اعتيادية للبرمجيات الوسيطة: مفاتيح تشفير مثبّتة في الشيفرة، واجتياز المسار، ومعالجة الكيانات الخارجية في XML، وإلغاء تسلسل غير آمن، وغياب فحص تفويض تقول IBM إنه «قد يسمح لمهاجم بعيد بتنفيذ عمليات دفع غير مصرّح بها». إن CVE-2026-18875 هو الوحيد الذي يصف عيبًا في طريقة حصول وكيل الذكاء الاصطناعي الخاص بالمنتج على المادة التي يبني عليها استدلاله. وفيما يلي وصف IBM، منقولًا بالكامل من الاستشارة الأمنية:

IBM Financial Transaction Manager (FTM) 4.x معرّض لـ RAG poisoning عبر upsert غير مُصادَق عليه لـ runbook (CWE-74) في خادم وكيل FTM AI (api.vectordb.runbooks.js:51). يمكن لمهاجم غير مُصادَق عليه إدراج محتوى runbook ضار في قاعدة بيانات المتجهات الخاصة بالوكيل لتوجيه استدعاءات أدوات MCP المدفوعة بالذكاء الاصطناعي، مما قد يؤدي إلى إطلاق إجراءات دفع غير مصرّح بها أو تسريب بيانات الدفع.

يجدر الفصل بين التواريخ، لأن السجل والنشرة لا يستخدمان التاريخ نفسه. تحمل نشرة IBM تاريخ نشر أولي هو 21 سبتمبر 2026. حُجز معرّف CVE في 4 أغسطس 2026، ونُشر سجل CVE نفسه في 23 سبتمبر 2026 الساعة 15:47 UTC؛ ثم تلاه إدخال NVD في الساعة 16:16 UTC من اليوم نفسه. يُدرج الأرشيف الحادثة في 23 سبتمبر 2026، وهو اليوم الذي أصبح فيه CVE علنيًا، بدقة يوم.

الآلية: الكتابة في المخزن الذي يثق به الوكيل

يعمل نظام التوليد المعزّز بالاسترجاع عبر جلب مقاطع من مخزن ووضعها أمام النموذج بوصفها سياقًا. وتضع النشرة الاستشارية الصادرة عن IBM وظيفة «إدراج أو تحديث دليل التشغيل» (runbook upsert) في تلك الطبقة — وهي عملية تكتب مدخل دليل تشغيل في قاعدة بيانات المتجهات الخاصة بالوكيل — وتقول إن العملية قبلت الكتابة دون مصادقة. ويشير المسار الوارد في النشرة الاستشارية، api.vectordb.runbooks.js:51، إلى خدمة JavaScript، وهو القدر الذي تكشفه IBM من البنية المعمارية.

هذا يجعل الأمر طرحًا مختلفًا عن حقن الأوامر غير المباشر الذي تدور حوله معظم حوادث الوكلاء. ففي الحالة العادية، يتعيّن على المهاجم أن يضع محتوى أمام وكيل يتصفح الويب أو يقرأ الملفات: بأن يسمّم صفحة سيجلبها الوكيل، أو مستندًا سيفتحه، أو بريدًا إلكترونيًا سيلخّصه. أما هنا فلا حاجة إلى جلب أي شيء من الخارج. إذ يكتب المهاجم المعرفة المسمومة مباشرةً في المخزن الذي يثق به الوكيل أصلًا، فيعيدها المخزن إليه كإرشادات تشغيلية مدقّقة أثناء سير عمل الدفع. وتُجمل Redbot Security، وهي شركة استخبارات تهديدات وثّقت العيب تحت المعرّف RBT-TI-0099 وتصفه بأنه حقن أوامر غير مباشر مع تسريب بيانات بنقرة صفرية، الفرق في سطر واحد: "يمكن للمحتوى المُسترجَع أن يتحوّل إلى تأثير تشغيلي." ويصنّف الأرشيف السجل بالوسمين IPI وINFRA للسبب نفسه — فمسار الحقن هو طبقة تعليمات الوكيل، والثغرة كامنة في البنية التحتية.

ما لا تقوله IBM لا يقلّ أهمية عمّا تقوله. فالتنبيه لا يسمّي أدوات {{1}}MCP{{/1}} التي يمكن للوكيل استدعاؤها، ولا يذكر عمليات الدفع التي تصل إليها، ولا يبيّن ما إذا كان مسار الإدراج-أو-التحديث (upsert) مكشوفًا في نشر {{2}}FTM{{/2}} الافتراضي أو في تكوينات معيّنة فقط، ولا يصف نموذج المصادقة الذي كان يُفترض أن يحميه. يقول "يحتمل"، ويتوقف عند هذا الحد.

قراءة 7.3

متجه CVSS 3.1 هو AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L. وبعد تفكيكه: يمكن الوصول إليه عبر الشبكة، وتعقيد الهجوم منخفض، ولا تُشترط امتيازات، ولا تفاعل من المستخدم — وهذا ما يجعله خطيرًا — ثم تأثير منخفض على السرية، وتأثير منخفض على السلامة، وتأثير منخفض على الإتاحة، والنطاق دون تغيير. وتضع أرقام IBM الخاصة قابلية الاستغلال عند 3.9 والتأثير عند 3.4. كل بُعد من أبعاد التأثير قيّمته IBM منخفض. إن 7.3 يحمله تقريبًا بالكامل مدى سهولة الوصول إلى العيب، وليس حجم الضرر الذي تعتقد IBM أنه يحدثه.

IBM هي الطرف الوحيد الذي قام بتقييمه. تُصنّف NVD الإصدار CVE-2026-18875 على أنه "Analyzed" اعتبارًا من 7 أكتوبر 2026، لكن مقياس CVSS الوحيد في سجله هو مقياس IBM، موسومًا بـ Secondary؛ ولم تقدّم NVD أي درجة أساسية من عندها. وتحمل قاعدة بيانات الاستشارات الخاصة بـ GitHub الوصف نفسه والدرجة 7.3 نفسها، وقد نُشرت في 23 سبتمبر 2026 الساعة 18:31 بالتوقيت العالمي المنسق.

أقرب شيء إلى تقييم لم تكتبه IBM يأتي من كتلة ADP Vulnrichment التابعة لـ CISA على سجل CVE، وهو قرار SSVC 2.0.3 سُجّل في 23 سبتمبر 2026 الساعة 18:48 UTC: الاستغلال: لا يوجد. قابلية الأتمتة: نعم. التأثير التقني: جزئي. يحمل هذا الحكم أمرين في آنٍ واحد، وكلاهما ينتمي إلى الجملة نفسها: فقد رأى منسّق CISA عدم وجود استغلال وقت النشر، واعتبر العيب قابلاً للأتمتة — من النوع الذي يمكن لماسح ضوئي أو برنامج نصي أن يعمل عليه بدلاً من هجوم يدوي لمرة واحدة.

وضع نظام تسجيل التنبؤ بالاستغلال التابع لـFIRST القيمة CVE-2026-18875 عند 0.00369، أو نحو 0.37%، ضمن المئين الثلاثين، في تشغيل النموذج المؤرخ 25 أكتوبر 2026. يقدّر EPSS احتمال الاستغلال المرصود خلال الثلاثين يومًا القادمة؛ ودرجة عند المئين الثلاثين رقم هادئ، وهو تنبؤ وليس تقريرًا عن أي شيء حدث.

ما هو ثابت، وما هو غير ثابت

مُثبَت. الثغرة موجودة وموثّقة في مصادر أولية تتفق فيما بينها: نشرة IBM بتاريخ 21 سبتمبر 2026، وسجل CVE المنشور في 23 سبتمبر 2026، وإدخال NVD المحلّل، وتنبيه GitHub الأمني. نطاق الإصدارات المتأثرة، وإصدار الإصلاح، ودرجة CVSS ومتجهها، وتعيين CWE، وموقع الشيفرة متطابقة فيما بينها. كان مسار الكتابة قابلاً للوصول دون بيانات اعتماد — وهذا وارد في وصف IBM نفسه، وليس استنتاجًا من الدرجة. لم يسجّل منسّق CISA أي استغلال. يقيّم الأرشيف ثقة السجل بالدرجة A، غير متنازع عليه، مع تسجيل الضرر الفعلي على أنه غير صحيح.

• الثغرة. إدراج أو تحديث غير مُصادَق عليه لدليل تشغيل (runbook) في خادم وكيل FTM AI، عند api.vectordb.runbooks.js:51، مما سمح للمهاجم بإدخال محتوى في قاعدة البيانات المتجهة التي يسترجع منها الوكيل. هذه صياغة IBM، وليست إعادة بناء.

• العاقبة التي تدّعيها IBM. أن المحتوى المسموم قد يوجّه استدعاءات أدوات MCP نحو إجراءات دفع غير مصرّح بها أو تسريب بيانات الدفع. تذكر IBM ذلك كنتيجة محتملة؛ وهي لا تدّعي أنها أثبتته في بيئة عميل.

• الإصلاح. FTM 4.0.11.0، المشار إليه من عقدة دعم IBM 7285661. يقول حقل الحلول البديلة والتخفيفات في النشرة «لا يوجد».

• سجل الاستغلال. لا يوجد. يحمل سجل SSVC الخاص بـ CISA بتاريخ 23 سبتمبر 2026 الحالة: الاستغلال: لا يوجد؛ ورقم EPSS البالغ 0.37% اعتبارًا من 25 أكتوبر 2026 هو توقع، وليس ملاحظة؛ ولا يظهر أي ضحية أو معاملة أو خسارة في أي مصدر تمت مراجعته.

لم يثبت. من اكتشف العيب وكيف — لا تنسب النشرة الفضل لأحد، ولا يوجد تقرير منشور علنًا من باحث مُسمّى. وهل المسار القابل للاستغلال مكشوف في نشر افتراضي أم فقط في إعداد معيّن. وما الذي يغيّره 4.0.11.0 فعليًا: هل أصبح مسار upsert يتطلب المصادقة، أم أُزيل، أم قُلّص بطريقة أخرى. وهل سبق لأي نشر من FTM أن كشف نقطة النهاية لشبكة غير موثوقة، ولأي مدة بين حجز 4 أغسطس ونشر 23 سبتمبر. وهل سبق أن جرت محاولة لتنفيذ إجراءات الدفع التي تحذر منها IBM في أي مكان.

لا تتفق جميع نطاقات الإصدارات في المتتبعات الثانوية. فبعضها يعرض النطاق المتأثر بصيغة «4.0.6.0 والإصدارات الأقدم»، وهذا ليس ما نشرته IBM؛ بينما يعطي بعضها الآخر 4.0.7.0 وحتى ما قبل 4.0.11.0، وهو ما يطابق إعداد NVD القابل للقراءة آليًا لكنه يحذف سطر الإصلاح المؤقت 4.0.6.0. نشرة IBM هي المرجع الموثوق هنا، وهي تسرد أسطر الإصدارات الستة الواردة في البطاقة أعلاه.

ثمة أمر آخر لم يثبت، لأن لا أحد حاول إثباته: لا يبدو أن أي مؤسسة إخبارية رئيسية أو مختبر بحثي مستقل قد نشر تحليله الخاص لـ CVE-2026-18875. التقييم الوحيد المسجل علنًا الذي لم تكتبه IBM هو كتلة SSVC ثلاثية الحقول التابعة لـ CISA. وحتى 26 أكتوبر 2026، تتكون التغطية من نشرة IBM، وسجل CVE، وNVD، وإشعار GitHub، ومجموعة من متتبعات الثغرات التي تعيد إنتاج نص IBM. عدة نتائج بحث حول CVE هي منشورات مدونات غير واضحة المصدر تبدو مولدة آليًا، وبعضها على مواقع تنشر أيضًا أدوات أسعار العملات المشفرة؛ لم يُستخدم أي منها كمصدر هنا. لا يوجد سرد ثانٍ مستقل لهذه الثغرة.

الإصلاح، والفجوة التي تليه

إن معالجة IBM ليست سوى ترقية إصدار ولا شيء غير ذلك: حدِّث عمليات نشر FTM for Red Hat OpenShift إلى 4.0.11.0، وأول إصلاح عند عقدة الدعم 7285661، دون تقديم أي حل بديل مؤقت. وهذه النقطة الأخيرة هي المهمة عمليًا. عندما يعلن المورّد "لا شيء" ضمن الحلول البديلة، فإن المشغّل الذي لا يستطيع الانتقال إلى 4.0.11.0 وفق جدول المدفوعات لا يبقى لديه سوى التدابير التي لم يكتبها المورّد — تقييد من يمكنه الوصول إلى واجهات runbook لخادم الوكيل، وهو ما توصي به Redbot Security ولا توصي به IBM.

تتحدد المخاطر بحسب ماهية FTM. وتصفه IBM بأنه "مركز موحّد للمدفوعات يعالج ويراقب ويدير بأمان جميع أنواع المدفوعات، بما فيها النماذج الدفعية واللحظية،" مع دعم ISO 20022 لمعالجة المعاملات وتوجيهها، ومنتج SWIFT مرافق لاتصال SWIFT المعتمد. كما تسوّق صفحة منتج IBM أيضًا لـ FTM AI Assistant، وهي "واجهة محادثة وكيلية مدعومة بالذكاء الاصطناعي التوليدي" تغطي المدفوعات والموافقات وأداء النظام والتوثيق. وتذكر المذكرة الاستشارية "FTM AI agent server" بوصفه موضع العيب، ولا تقول شيئًا عن كيفية ارتباط ذلك الخادم بالمساعد الموجود على صفحة التسويق. وأي شخص يرسم مخططًا معماريًا من الوثيقتين معًا فإنما يخمّن.

الدرس التصميمي الذي يستخلصه Redbot من هذه الحالة هو الدرس الذي يظل صالحًا بعد الترقية: أبقِ المحتوى المسترجع خارج مسار الصلاحية. وتتمثل توصياته في أن إنشاء كتب التشغيل واستبدالها وحذفها يتطلب المصادقة والموافقة والإسناد؛ وأنه لا يُسمح أبدًا لكتب التشغيل المسترجعة بأن تأذن بالمدفوعات أو توسّع نطاق المعاملات أو تسمح بنقل البيانات الخارجية من تلقاء نفسها؛ وأن خدمات الدفع المتصلة تفرض أذوناتها الخاصة بغض النظر عن كيفية تفسير الوكيل لما استرجعه. هذه توصيات شركة استخبارات تهديدات، وليست التزامات من IBM، ونشرة IBM لا تتضمن أياً منها.

لماذا يسميه الأرشيف متوسطًا؟

يجيب السجل ودرجة CVSS عن سؤالين مختلفين، والفجوة بينهما هي الملخص الصادق لهذه الحالة. درجة IBM البالغة 7.3 هي درجة ضمن نطاق HIGH لثغرة يمكن الوصول إليها بسهولة بالغة. يسجل الأرشيف المُدخل كثغرة أمنية لا كحادث، بدرجة خطورة متوسطة، وضرر فعلي: خطأ، وثقة: A، ودون علامة نزاع، ومؤرخًا في 23 سبتمبر 2026 بالضبط، ومُسجلًا بحقل منطقة عالمية. تصف تلك الحقول ما حدث، وما حدث هو لا شيء.

هذا المزيج هو جوهر المدخل. فوكيل الدفع الذي كان يقرأ من مخزن يستطيع أي شخص الكتابة فيه يُعدّ عملًا هندسيًا جادًا، وقد جرى إصلاحه في ترقية إصدار قبل أن يُعرف أن أحدًا قد استخدمه. وكلا الشقين صحيح، ويُبقيهما السجل منفصلين بدلًا من أن يترك النتيجة أو الصمت يتحدثان وحدهما.